不同应用间双向API调用的OAuth授权实现方案咨询

这个场景不需要自研私有协议，用现有OAuth 2.0的标准能力组合就能实现，全程用户仅需完成1次授权操作，不需要分别在A、B两个平台重复点同意。

选型依据 #

直接用两个成熟标准组合即可，不需要搞自定义签名、共享密钥这类难维护、安全风险高的非标准方案：

• 基础授权用OAuth 2.0 授权码模式，满足用户显式授权的合规要求
• 双向凭证交换用OAuth 2.0 Token Exchange（RFC 8693），解决两边用户身份映射、凭证互发的问题，不需要二次跳转授权

全流程实现步骤 #

前置准备 #

• A、B双方互相在对方的OAuth授权服务器注册为可信客户端，各自拿到专属的client_id和client_secret，提前同步好对方的授权端点、Token签发端点、Token校验端点地址，回调地址固定为各自服务端接收跨应用授权回调的接口，不要用前端地址。
• 双方提前约定好全局唯一的用户关联键，比如用户手机号哈希、统一身份ID这类两边都能拿到的非自增字段，不要用各自平台的内部自增用户ID做关联，避免ID冲突。

一次性授权绑定（用户仅操作这一步） #

1. 用户首次在Web应用A触发需要调用API B的操作时，A直接由后端重定向到B的OAuth授权端点，带上自己的client_id、需要申请的B接口权限scope、防CSRF的state参数，额外加一个自定义标记bidirectional_auth=true，告知B这是双向绑定的授权请求。
2. B端识别到双向授权标记，等用户完成B侧账号登录、展示授权页并获得用户同意后，先生成一个有效期5分钟、仅可使用一次、绑定当前A客户端ID的关联码link_code，把B侧的授权码（用于A换访问B接口的token）和link_code拼到回调地址里，重定向回A的回调接口。
3. A的后端收到回调后，先拿B返回的授权码走标准流程，换出代表当前用户访问B接口的access_token和refresh_token，存在B侧授权关系表中，绑定A侧当前用户ID和A的客户端ID。
4. A紧接着发起Token Exchange请求到B的Token端点，带上自己的client_id、client_secret、收到的link_code、A侧当前用户的唯一标识，以及A侧生成的、代表该用户给B授权的授权码，告知B：“我已经完成你这边的授权流程，这是关联码，我这边的用户ID是xxx，你可以拿我给你的授权码换访问我接口的token”。
5. B校验link_code合法、未被使用过之后，先做身份绑定：把A传过来的A侧用户ID和当前B侧登录的用户ID做映射存在关联表里，再接收A传的授权码，调用A的Token端点换出代表该用户访问A接口的access_token和refresh_token，存在A侧授权关系表中。
   这一步走完，A和B就都持有了代表同一用户访问对方接口的合法凭证，用户全程只点了一次B侧的授权同意按钮，不需要再跳转去A侧给B做二次授权。

后续双向调用逻辑 #

• A需要调用B的接口时，直接从库里取出对应用户的B签发access_token放到请求Authorization头里即可，token过期用refresh_token自动刷新，全程不需要用户介入。
• B需要调用A的接口时，逻辑完全一致，取A签发的对应token调用即可，过期自动刷新。

必须注意的风险点 #

• 所有授权码交换、token签发、link_code校验的逻辑全走服务端通信，绝对不能把client_secret、link_code这类敏感参数传到前端，防止凭证泄露。
• link_code必须严格限制有效期、使用次数、绑定的客户端ID，一旦校验失败立刻终止流程，避免授权绑定被劫持，导致用户身份被错绑。
• 两边必须存双向的授权映射关系：A侧要存「A用户ID <-> B客户端ID <-> B访问A的token」，B侧要存「B用户ID <-> A客户端ID <-> A访问B的token」，任意一侧用户注销账号、手动取消授权时，必须立刻通知对方作废对应token，避免出现越权访问。
• 绝对不要为了省事让两边共用同一个token，A持有的访问B的token必须是B签发，B持有的访问A的token必须是A签发，各自控制token的scope、有效期，后续安全审计才能明确调用来源，出问题方便定责。

为什么不选其他方案 #

• 不要让用户分别在A给B授权、在B给A授权：需要两次跳转、两次点同意，用户体验极差，不符合无重复授权的需求。
• 不要搞共享密钥、共享Session：两个应用分属不同公司、无共享代码库，密钥轮换、权限边界、操作审计完全没法管控，出了数据泄露问题无法定责。
• 不要靠互信直接签发JWT：跳过用户显式授权环节，不符合数据合规要求，用户完全不知情两边在同步自己的数据，存在合规风险。

内容的提问来源于stack exchange，提问作者Rafael Colucci