Marvin's Blog【程式人生】

Ability will never catch up with the demand for it

18 Apr 2020

OneDrive接口文档笔记(一):登录验证

Authorization and sign-in for OneDrive in Microsoft Graph

要让你的App使用OneDrive API,可以使用Azure AD v2.0或者Azure AD所提供的验证服务。前者比后者新,但是不支持一些企业级别的验证服务。两者的区别可以在App authentication with Microsoft Graph 查看。

如果没有特殊特殊需求,直接使用Azure AD v2.0即可。将App在Microsoft Application Registration Portal 注册以获得Azure AD v.20所要求的clientID和secret。

整体流程走的是OAuth的流程,支持以下scope:

  • offline_access,可以离线访问文件,需要使用OAuth的code-flow
  • files.read,获取用户存储在OneDrive所有文件的只读权限
  • files.read.all,files.read权限外加可以读取分享给用户的文件
  • files.readwrite, 获取用户存储在OneDrive所有文件的读写权限
  • files.readwrite.all,外加分享文件的读取权限

一般应用会同时请求files.readwrite offline_access权限。

常用的验证流程包括Token flow和code flow。

token flow比较简单,但是不支持刷新,其请求URL如下:

GET https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id={client_id}&scope={scope}&response_type=token&redirect_uri={redirect_uri}

Code flow稍微复杂一点,服务端返回的是一个code,而不是token。客户端需要多一步操作,也就是那code换token。Token过期之后,客户端可以通过code来刷新token。

获取code的请求API:

GET https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id={client_id}&scope={scope}&response_type=code&redirect_uri={redirect_uri}

返回之后会把客户端重定向到redirect_uri,示例如下:

https://myapp.com/auth-redirect?code=df6aa589-1080-b241-b410-c4dff65dbf7c

通过code交互token:

POST https://login.microsoftonline.com/common/oauth2/v2.0/token
Content-Type: application/x-www-form-urlencoded

client_id={client_id}&redirect_uri={redirect_uri}&client_secret={client_secret}
&code={code}&grant_type=authorization_code

返回的token如下:

{
  "token_type":"bearer",
  "expires_in": 3600,
  "scope":"wl.basic onedrive.readwrite",
  "access_token":"EwCo...AA==",
  "refresh_token":"eyJh...9323"
}

access_token用来访问API,refresh_token用来更新access_token(存活时间在expires_in中指示)

如果应用请求了offline_access范围,通过refresh_token可以请求额外的access_token:

POST https://login.microsoftonline.com/common/oauth2/v2.0/token
Content-Type: application/x-www-form-urlencoded

client_id={client_id}&redirect_uri={redirect_uri}&client_secret={client_secret}
&refresh_token={refresh_token}&grant_type=refresh_token

返回的是:

{
  "token_type":"bearer",
  "expires_in": 3600,
  "scope": "wl.basic onedrive.readwrite wl.offline_access",
  "access_token":"EwCo...AA==",
  "refresh_token":"eyJh...9323"
}

注销用户登录需要执行以下操作:

  • 删除access_token以及refresh_token
  • 删除本地缓存
  • 通过这个URL通知服务器:GET https://login.microsoftonline.com/common/oauth2/v2.0/logout?post_logout_redirect_uri={redirect-uri}

通过在Microsoft account manage consent ,用户可以主动撤销授予的访问。

参考

(未完待续)

Categories

Tags