MSL OAuth 2.0

约 1058 字大约 4 分钟

2025-10-12

TIPS

此处介绍的开发者将自己的服务接入MSL统一身份验证（即MSL用户中心服务）第三方登录。
若您并不知道什么意思，那就别看啦~

1.申请OAuth App

进入MSL用户中心的OAuth App管理页面，点击添加应用。

MSL OAuth App管理

填写应用的名字，图标（推荐正方形，需要是可以外部访问的url地址），以及您的App的回调地址。

点击确定后，会返回您的App 客户端ID 以及密钥信息。

注意

请妥善保管您的密钥，密钥仅会显示一次。后续若忘记密钥就只能重置了。

审核

添加App后会进入待审核状态，请联系管理员审核。否则App无法正常调用哦！

2.OAuth流程

OAuth 2.0

什么是 OAuth2 ?

MSL统一身份验证基于OAuth2的授权码模式规范设计
若有出入，请联系反馈~

请求获取授权码（跳转MSL用户中心授权）
请求跳转授权地址：
```
https://user.mslmc.net/oauth/authorize
```
查询参数:
client_idRequiredString
NeQ5v7T72vm4Yi6ADyYAW6m4eVK
客户端ID（第一步申请得到的）。
stateOptionalString
SiGEWINNEQWQ
随机字符串，防止CSRF，请求方应当生成并记录此字符串，用于后续验证。
非必须，但强烈建议。
redirect_uriOptionalString
https://api.mslmc.cn/api/callback
登录成功后重新向的地址（一般是编码的地址），若不传此参数则读取App设置的URI地址。
非必须，但强烈建议。
示例拼接地址:
```
https://user.mslmc.net/oauth/authorize?client_id=NeQ5v7T72vm4Yi6ADyYAW6m4eVK&state=SiGEWINNEQWQ&redirect_uri=https%3a%2f%2fapi.mslmc.cn%2fapi%2fcallback
```
最小示例拼接地址
```
https://user.mslmc.net/oauth/authorize?client_id=NeQ5v7T72vm4Yi6ADyYAW6m4eVK
```
但是不建议这么做，缺少 state 参数可能会导致一些风险（如：跨站攻击）哦~
若地址正确，访问后应该是如下页面:
使用授权码交换AccessToken
登录成功后，MSL用户中心将根据填写的App回调地址重定向并添加 code 和 state 参数（方法是GET）
提示
code 有效期只有 10分钟。
MSL用户中心授权成功的重定向示例:
```
https://api.mslmc.cn/api/callback?code=y94vzbhskzcizEDmJMbWt775tbI&state=iGEWINNEQWQ
```
您的客户端接收到回调后应该核对 state 否与请求时的一致，若不一致，请拒绝登录请求。
然后需要用拿到的code通过api交换得到AccessToken
POST application/x-www-form-urlencoded 或者 application/json
```
https://user.mslmc.net/api/oauth/exchangeAccessToken
```
codeRequiredString
y94vzbhskzcizEDmJMbWt775tbI
回调拿到的授权码
client_idRequiredString
NeQ5v7T72vm4Yi6ADyYAW6m4eVK
您在第一步申请的客户端ID
client_secretRequiredString
FAOFoGDPtTK8Yudlerv...
您在第一步申请的客户端密钥
非必须，但强烈建议。
返回示例:
```
{
  "code": 200,
  "msg": "授权成功",
  "access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1aWQiOjEsImlhdCI6MTc0NzU1NzY3MiwiZXhwIjoxNzQ3NTYxMjcyfQ.iyX0dIXxrUkr6Dg7HCZ7YNQb2G1u5EYpzh-6wKYJShg",
  "expires_in": 3600,
  "token_type": "Bearer",
  "scope": "user_info"
}
```
获取到 access_token 即可
完整API文档：获取Access Token - MSL-User-System

获取用户信息

GET

https://user.mslmc.net/api/oauth/user

需要添加 Authorization 请求头

在 Header 添加参数 Authorization，其值为在 Bearer 之后拼接 Token 示例:

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1aWQiOjEsImlhdCI6MTc0NzU1NzY3MiwiZXhwIjoxNzQ3NTYxMjcyfQ.iyX0dIXxrUkr6Dg7HCZ7YNQb2G1u5EYpzh-6wKYJShg

返回示例:

{
  "code": 200,
  "msg": "获取用户信息成功",
  "uid": 1,
  "username": "小可爱",
  "email": "user@mslmc.cn",
  "qq": null,
  "score": 1500,
  "avatar": "https://cravatar.cn/avatar/d31946d60f6051840edc9d41a1261?d=identicon&s=640",
  "regTime": 1737992780,
  "lastLoginTime": 1745988703,
  "permission": 1,
  "realName": false,
  "lastCheckInTime": null,
  "twoFactorAuth": true
}