当前位置：首页 > news >正文

requests-oauthlib实战：构建完整的第三方应用集成方案

news 2026/6/2 2:18:42

requests-oauthlib实战：构建完整的第三方应用集成方案

【免费下载链接】requests-oauthlibOAuthlib support for Python-Requests!项目地址: https://gitcode.com/gh_mirrors/re/requests-oauthlib

requests-oauthlib是一个为Python-Requests提供OAuthlib支持的强大库，能够帮助开发者轻松实现与各种第三方服务的OAuth认证集成。本文将详细介绍如何使用requests-oauthlib构建完整的第三方应用集成方案，包括OAuth 1.0和OAuth 2.0两种认证协议的实现方法，以及不同授权流程的具体应用场景。

OAuth认证基础：选择适合你的协议版本

OAuth认证协议主要分为OAuth 1.0和OAuth 2.0两个版本，它们在安全性、复杂度和适用场景上有所不同。requests-oauthlib同时支持这两个版本，开发者可以根据具体需求选择合适的协议。

OAuth 1.0：高安全性的传统认证方案

OAuth 1.0采用基于HMAC-SHA1的签名机制，所有请求都需要进行签名验证，提供了较高的安全性。它适用于对安全性要求较高的场景，如支付系统、银行服务等。在requests-oauthlib中，OAuth 1.0的实现主要通过OAuth1和OAuth1Session两个类来完成，相关代码位于requests_oauthlib/oauth1_auth.py和requests_oauthlib/oauth1_session.py。

OAuth 2.0：灵活高效的现代认证方案

OAuth 2.0是目前应用最广泛的认证协议，它提供了多种授权流程，适用于不同的应用场景。相比OAuth 1.0，OAuth 2.0更加灵活和高效，但安全性相对较低。requests-oauthlib中OAuth 2.0的实现主要通过OAuth2Auth和OAuth2Session类，相关代码位于requests_oauthlib/oauth2_auth.py和requests_oauthlib/oauth2_session.py。

OAuth 1.0实战：完整授权流程解析

OAuth 1.0的授权流程相对复杂，主要包括以下几个步骤：获取请求令牌、获取用户授权、获取访问令牌和访问受保护资源。下面我们将详细介绍每个步骤的实现方法。

步骤1：获取请求令牌

首先，需要使用客户端密钥和密钥向OAuth提供商请求一个请求令牌。这一步骤的目的是标识客户端，为后续的授权流程做准备。

from requests_oauthlib import OAuth1Session client_key = 'your_client_key' client_secret = 'your_client_secret' request_token_url = 'https://api.provider.com/oauth/request_token' oauth = OAuth1Session(client_key, client_secret=client_secret) fetch_response = oauth.fetch_request_token(request_token_url) resource_owner_key = fetch_response.get('oauth_token') resource_owner_secret = fetch_response.get('oauth_token_secret')

步骤2：获取用户授权

接下来，需要将用户重定向到OAuth提供商的授权页面，获取用户的授权。用户授权后，会返回一个验证器（verifier），用于后续获取访问令牌。

base_authorization_url = 'https://api.provider.com/oauth/authorize' authorization_url = oauth.authorization_url(base_authorization_url) print('Please go here and authorize:', authorization_url) redirect_response = input('Paste the full redirect URL here: ') oauth_response = oauth.parse_authorization_response(redirect_response) verifier = oauth_response.get('oauth_verifier')

步骤3：获取访问令牌

使用请求令牌、密钥和验证器，向OAuth提供商请求访问令牌。访问令牌是长期有效的，用于后续访问受保护资源。

access_token_url = 'https://api.provider.com/oauth/access_token' oauth = OAuth1Session(client_key, client_secret=client_secret, resource_owner_key=resource_owner_key, resource_owner_secret=resource_owner_secret, verifier=verifier) oauth_tokens = oauth.fetch_access_token(access_token_url) resource_owner_key = oauth_tokens.get('oauth_token') resource_owner_secret = oauth_tokens.get('oauth_token_secret')

步骤4：访问受保护资源

最后，使用访问令牌访问受保护的资源。OAuth 1.0的访问令牌通常不会过期，除非被用户或客户端撤销。

protected_url = 'https://api.provider.com/protected-resource' oauth = OAuth1Session(client_key, client_secret=client_secret, resource_owner_key=resource_owner_key, resource_owner_secret=resource_owner_secret) r = oauth.get(protected_url) print(r.json())

OAuth 2.0实战：四大授权流程详解

OAuth 2.0提供了四种主要的授权流程，分别适用于不同的应用场景。requests-oauthlib对这些流程都提供了良好的支持，下面我们将逐一介绍。

1. 授权码流程（Web应用流程）

授权码流程是最常用的OAuth 2.0授权流程，适用于有服务器端的Web应用。它通过授权码来获取访问令牌，安全性较高。

from requests_oauthlib import OAuth2Session client_id = 'your_client_id' client_secret = 'your_client_secret' redirect_uri = 'https://your-app.com/callback' scope = ['userinfo.email', 'userinfo.profile'] oauth = OAuth2Session(client_id, redirect_uri=redirect_uri, scope=scope) authorization_url, state = oauth.authorization_url( 'https://accounts.provider.com/o/oauth2/auth', access_type="offline", prompt="select_account") print('Please go here and authorize:', authorization_url) authorization_response = input('Enter the full callback URL: ') token = oauth.fetch_token( 'https://accounts.provider.com/o/oauth2/token', authorization_response=authorization_response, client_secret=client_secret) r = oauth.get('https://api.provider.com/userinfo') print(r.json())

2. 隐式授权流程（移动应用流程）

隐式授权流程适用于没有服务器端的应用，如移动应用或单页应用。它直接返回访问令牌，不经过授权码的步骤，安全性相对较低。

from oauthlib.oauth2 import MobileApplicationClient from requests_oauthlib import OAuth2Session client_id = 'your_client_id' scopes = ['scope_1', 'scope_2'] auth_url = 'https://your.oauth2/auth' oauth = OAuth2Session(client=MobileApplicationClient(client_id=client_id), scope=scopes) authorization_url, state = oauth.authorization_url(auth_url) print('Please go here and authorize:', authorization_url) response = oauth.get(authorization_url) token = oauth.token_from_fragment(response.url) print(token)

3. 资源所有者密码凭证流程（遗留应用流程）

资源所有者密码凭证流程适用于信任关系的应用，用户直接向应用提供用户名和密码，应用使用这些凭证获取访问令牌。这种流程安全性较低，不推荐在新应用中使用。

from oauthlib.oauth2 import LegacyApplicationClient from requests_oauthlib import OAuth2Session client_id = 'your_client_id' client_secret = 'your_client_secret' username = 'user_username' password = 'user_password' oauth = OAuth2Session(client=LegacyApplicationClient(client_id=client_id)) token = oauth.fetch_token( token_url='https://provider.com/oauth2/token', username=username, password=password, client_id=client_id, client_secret=client_secret) print(token)

4. 客户端凭证流程（后端应用流程）

客户端凭证流程适用于没有用户参与的后端服务之间的认证。应用直接使用客户端ID和密钥获取访问令牌，用于访问与客户端相关的资源。

from oauthlib.oauth2 import BackendApplicationClient from requests_oauthlib import OAuth2Session client_id = 'your_client_id' client_secret = 'your_client_secret' client = BackendApplicationClient(client_id=client_id) oauth = OAuth2Session(client=client) token = oauth.fetch_token( token_url='https://provider.com/oauth2/token', client_id=client_id, client_secret=client_secret) print(token)

高级特性：令牌刷新与TLS客户端认证

除了基本的授权流程，requests-oauthlib还提供了一些高级特性，帮助开发者更好地处理OAuth认证中的常见问题。

自动令牌刷新

OAuth 2.0的访问令牌通常有过期时间，需要定期刷新。requests-oauthlib提供了自动令牌刷新功能，可以在令牌过期时自动获取新的访问令牌。

from requests_oauthlib import OAuth2Session token = { 'access_token': 'existing_access_token', 'refresh_token': 'your_refresh_token', 'token_type': 'Bearer', 'expires_in': 3600 } def token_saver(new_token): # 保存新令牌的逻辑，如存入数据库或文件 print('Saving new token:', new_token) oauth = OAuth2Session( client_id, token=token, auto_refresh_url='https://provider.com/oauth2/token', auto_refresh_kwargs={'client_id': client_id, 'client_secret': client_secret}, token_updater=token_saver ) r = oauth.get('https://api.provider.com/protected-resource') print(r.json())

TLS客户端认证

对于需要更高安全性的场景，requests-oauthlib支持TLS客户端认证，可以使用客户端证书进行身份验证。

oauth.fetch_token( token_url='https://provider.com/oauth2/token', include_client_id=True, cert=('client-cert.pem', 'client-key.pem') )

实战案例：主流平台集成示例

requests-oauthlib提供了多个主流平台的集成示例，位于docs/examples/目录下。这些示例涵盖了GitHub、Google、Facebook等常见平台，开发者可以参考这些示例快速实现与特定平台的集成。

例如，GitHub的OAuth 2.0集成示例展示了如何使用授权码流程获取用户信息：

# 参考 docs/examples/github.rst from requests_oauthlib import OAuth2Session client_id = 'your_client_id' client_secret = 'your_client_secret' redirect_uri = 'https://your-app.com/callback' github = OAuth2Session(client_id, redirect_uri=redirect_uri) authorization_url, state = github.authorization_url( 'https://github.com/login/oauth/authorize') print('Please go here and authorize:', authorization_url) authorization_response = input('Enter the full callback URL: ') token = github.fetch_token( 'https://github.com/login/oauth/access_token', client_secret=client_secret, authorization_response=authorization_response) user_data = github.get('https://api.github.com/user').json() print('User info:', user_data)