OAuth 2.0
由IETF于2012年通过RFC 6749正式标准化的授权协议，核心设计思想是「授权与认证分离」，将令牌体系拆分为access_token（短期）和refresh_token（长期）两层，是现代Web身份认证的主流标准。
核心事实
时间轴 (近 90 天)
短期令牌通常基于OAuth 2.0或类似机制签发，有效期从几分钟到数小时不等，并支持随时撤销。
验证绑定到Google账户下的法律实体，因此传统服务账户和API密钥不可用，CI/CD环境需通过一次性的OAuth 2.0离线授权获取刷新令牌。
受众绑定机制源自OAuth 2.0令牌设计：令牌携带audience字段，资源服务器验证时必须确认该字段指向自己，否则拒绝服务。
Withings设备通常通过官方API将健康数据上传至云端，第三方应用通过OAuth 2.0等授权机制获取这些数据。
传统身份提供商（IdP）面向人类用户设计，依赖账号密码、多因素认证等机制，常见标准包括SAML、OAuth 2.0和OpenID Connect。
为 AI 代理签发凭证可采用 OAuth 2.0 的客户端凭证模式或新兴的代理身份协议。
邮件、会议、文档和聊天记录属于微软Microsoft Graph统一暴露的办公数据资产，通过OAuth 2.0授权框架和细粒度权限范围（scopes）控制第三方或内部应用可读取的内容。
将演示助手接入真实Outlook日历涉及OAuth 2.0授权与权限范围（如 Calendars.ReadWrite）、企业租户的管理员同意策略、数据隐私与合规审查，以及发送邮件所需的 Mail.Send 权限。
Microsoft 365 的第三方应用集成主要基于 OAuth 2.0 授权框架。
OAuth 2.0授权码流程中，第三方服务返回访问令牌（access token）和刷新令牌（refresh token），访问令牌有效期通常为数十分钟到数小时，过期后需用刷新令牌换取新令牌。
还有 40 条时间轴事件
全部知识事实 (20)
OAuth 2.0由IETF在RFC 6749中定义
90%已验证OpenID Connect是在OAuth 2.0之上构建的身份层，引入了通常为JWT格式的ID Token用于向客户端证明用户身份
75%已验证OAuth 2.0 Token Exchange（RFC 8693）定义了令牌交换机制，允许一个服务用已持有的令牌换取适用于下游服务的新令牌
75%已验证OAuth Token Exchange在RFC 8693中定义，被行业探索用于解决Agent委托链问题
75%已验证MCP 的权限模型借鉴了 OAuth 2.0 授权码流程，工具调用需要明确的用户授权
75%已验证n8n 连接 Gmail 通常依赖 Google 的 OAuth 2.0 授权机制，允许第三方应用在用户授权后以受限方式访问 Google 账户资源而无需获取账户密码
65%已验证OAuth协议最初设计用于解决第三方应用代表用户访问资源的问题，核心机制是用户向授权服务器授权换取访问令牌
65%已验证OAuth 是 MCP 生态中最常见的认证机制之一，用户在授权服务器完成身份验证后获得有时效的访问令牌和可刷新的刷新令牌
65%已验证OAuth 2.0体系中的Token Exchange规范（RFC 8693）允许已认证主体将部分权限委托给另一个实体，同时保留授权链来源信息
65%已验证OAuth模式通过引入身份提供方对用户进行身份认证，工具认证后签发访问令牌供智能体使用
65%已验证OAuth 2.0 协议是 scoped access 最广为人知的实现，授权页面明确列出应用请求的权限范围
65%已验证OAuth 2.0是授权框架,配合OIDC扩展实现身份认证
65%已验证Microsoft Graph API 是微软统一的 RESTful API 接口，覆盖邮件、日历、文件等 Microsoft 365 全套服务
65%已验证常见的 SSO 实现协议包括 SAML 2.0、OAuth 2.0 和 OpenID Connect（OIDC）
65%已验证OAuth 2.0专门处理授权委托，OpenID Connect在OAuth 2.0之上叠加身份验证层，SAML多用于企业联邦身份场景
65%已验证OAuth 2.0 只解决授权问题，而 OIDC 在此基础上增加了标准化的身份认证层，引入了通常为 JWT 格式的 ID Token 来携带用户身份信息
65%已验证微信小程序的登录流程遵循OAuth 2.0的授权码模式变体，前端调用wx.login()获取临时登录凭证code，服务器用code加AppID和AppSecret向微信服务器换取openid和session_key
65%待验证Gemini CLI 通过 OAuth 2.0 协议认证，在本地启动临时 HTTP 服务器并打开浏览器完成 Google 账户授权，token 存储在本地配置目录中
90%待验证OAuth 2.0的Access Token通常有效期较短（15分钟到1小时），Refresh Token有效期较长
90%待验证One API的二次分发Key机制借鉴了OAuth 2.0中的令牌委托模式，原始Key仅存储在服务端
80%