php - 使用 OAuth2 客户端凭证流保护用 PHP 编写的 REST API

Question

我正在使用 Symfony2 在 PHP 中编写 REST API。此 API 旨在供各个网站用于访问数据，这将由客户端库完成。

不过，我需要保护 API，事实证明这有点令人困惑。我做了一些研究，据我所知，一个好的方法似乎是将 OAuth2 与客户端凭证流一起使用(请参阅 RFC 草案)。我不得不承认，我仍然不清楚它究竟是如何工作的细节，但我一直在读它是如此简单。我想我的第一个问题是:这是要走的路还是我走错了方向？我应该使用其他方法来验证客户端吗？请记住，我需要身份、身份验证和授权。

如果是，使用客户端凭据的 OAuth2 是一种方式，那么我会问:在 PHP 中完成此操作的最佳方式是什么？有没有人真的这样做过？到目前为止，我一直在尝试使用 oauth2-php连同 bundle没有太多运气。尽管我不太确定，但该 bundle 似乎专注于三足认证。我想知道最好的做法是使用 oauth2-php 包手动完成吗？

如有任何相关信息，我将不胜感激。提前致谢!

Answer 1

海达尔，

我目前正在做一个类似的项目，这是我目前的发现。

Oauth 正式授权网站与网络上的其他资源，Facebook 发现授权和身份验证的整个分离对其开发人员群造成混淆，并开始对两者使用 Oauth。由于它是开发人员一直关注的主要参与者。

虽然我不太确定您在声明中的身份部分是什么意思，但您需要“身份、身份验证和授权”。

你可以对其他两个使用 Oauth，从所有大型互联网公司都这样做的事实中扣除(在这方面我能为你做的最好，Oauth 文档说它仅用于授权)。

Google 提供了一个维护良好的客户端库:http://code.google.com/p/google-api-php-client/wiki/OAuth2

此外，对于服务器端库，我会转向 oauth2-php，如您所指，在 https://github.com/quizlet/oauth2-php但请参阅此帖子了解更多详情:Are there OAuth 2 server side PHP or Java implementations?

关于三足认证的部分，请在此处查看答案(它确实很广泛，但解释得很好)OAuth 2.0: Benefits and use cases — why?

请记住，尽管我仍在努力实现这一点。