技术问询：如何理解XOAUTH2.0及它与OAUTH2的区别？

什么是XOAUTH2.0？ #

XOAUTH2.0不是独立的新协议，它是基于OAuth2.0框架打造的专用身份认证方案，最早由Google推出，核心目的是给IMAP、SMTP、POP3这类传统邮件协议加上OAuth2.0的授权能力，替代老旧的密码认证方式。

简单说：以前你用邮件客户端连Gmail，得输账号密码；现在用XOAUTH2.0，客户端会走OAuth2的授权流程拿到访问令牌，再用这个令牌向IMAP/SMTP服务器证明身份，全程不用暴露密码。

与OAuth2.0的核心区别 #

• 适用范围天差地别
  OAuth2.0是通用的开放授权框架，不管是网站第三方登录、API权限控制还是移动应用授权，只要涉及第三方授权场景都能用上，是一套通用规则。
  XOAUTH2.0是窄场景的定制实现，只服务于IMAP/SMTP/POP3这类邮件协议的身份认证，出了邮件领域基本用不上。

• 流程细节是定制化的
  OAuth2.0有授权码、密码、客户端凭证等多种授权模式，但XOAUTH2.0只采用授权码模式（毕竟邮件是敏感服务，要严格保证用户身份安全）。而且令牌的使用有特定格式，比如在IMAP协议中，要把令牌按固定格式嵌入AUTH XOAUTH2命令里：

  AUTH XOAUTH2 dXNlcj1zb21ldXNlcjFAbWFpbC5jb20BYXV0aD1CMG...
  

• 标准化程度不同
  OAuth2.0是IETF正式标准化的协议（参考RFC 6749），几乎所有主流厂商都遵循这个规范；
  XOAUTH2.0最初是Google的私有方案，后来虽然微软等厂商也跟进支持，但并没有成为通用的国际标准，属于厂商主导的场景化方案。

• 角色映射更具体
  OAuth2.0的通用角色（资源所有者、客户端、授权服务器、资源服务器）在XOAUTH2.0里有明确的场景绑定：资源服务器就是IMAP/SMTP服务器，客户端就是邮件客户端，所有流程都是围绕邮件服务的认证需求设计的。

内容的提问来源于stack exchange，提问作者potter