ios - OAuth2 "social login"流程(允许通过 Facebook/Twitter 进行 OAuth2 身份验证): are there any examples/literature?

Question

我正在为基于 Web 的自定义社交网络应用程序开发原生移动应用程序。我们正在构建一个 REST API 来与网络服务器通信，我们选择 OAuth2 作为身份验证方法(grant_type=password 流程)。

网络应用程序允许用户使用外部服务(即 Facebook 和 Twitter)登录和注册。我们需要在移动应用程序上也允许这样做。问题是:我们如何才能做到这一点？

Pinterest 移动应用程序能够管理这种情况(见附图)。这里使用的流程是什么？

它们的行为是否像经典的 OAuth 驱动的应用程序(移动应用程序直接通过 Facebook API 充当 OAuth 客户端？)。如果是这样，那么移动应用程序如何通过 Pinterest 服务器进行身份验证？它是否将 Facebook OAuth 访问 token 作为凭据传递？

问题的图形表示(参见 ???? 标记的箭头):

Website API                 Mobile app                    Facebook OAuth

  +                           +                               +
  |                           |                               |
  |                           |       /oauth2/token           |
  |                           +------------------------------>|
  |                           |                               |
  |                           |       OAuth Access Token      |
  |                           |<-----------------------------+|
  |                           |                               |
  |           ????            |                               |
  |- - - - - - - - - - - - - -|                               |
  |                           |                               |
  |                           |                               |
  |    OAuth Access Token     |                               |
  |+------------------------->|                               |
  |                           |                               |
  |                           |                               |
  |   API Usage (w/ token)    |                               |
  |+------------------------->|                               |
  |<-------------------------+|                               |
  |                           |                               |
  |+------------------------->|                               |
  |<-------------------------+|                               |
  |                           |                               |
  |           ...             |                               |
  +                           +                               +

更新: This question is quite similar挖矿.. 如果这是正确的路径，那么第二步和第三步(将 Facebook token 传输到我们的自定义 API，加上 token 本身的验证)不能是额外的 OAuth2 授权类型(即. facebook_token)?

Answer 1

您可以尝试使用您刚刚在移动设备上检索到的 fb 访问 token 。 (可以是任何其他提供者)。将它发送到您的服务器以登录/注册/两者都是网络服务。在服务器端，您可以使用 fb sdk 和访问 token 检查用户是谁，登录用户并向他发送 cookie/ session 。