google-app-engine - 在这种情况下，OAuth 和 OpenID 是正确的方法吗？

Question

我仍在努力思考 OAuth/OpenID 的工作原理，因此...

我正在开发一个可以在计算机和 iPhone 上运行的“已安装应用程序”。给定的用户可以在多台机器上安装客户端应用程序，并且用户安装的所有客户端都将通过集中的 Google App Engine 服务进行同步。 GAE 服务还将允许多个用户通过网络应用程序协作处理已安装应用程序生成的数据。

我不想推出我自己的身份验证系统，为了我自己的方便，也为了让用户免于使用另一组凭据。因此，我最初考虑使用 Google 的 clientlogin 服务，但后来我认为 OAuth/OpenID 会更好，因为它不仅允许用户使用 Google 凭证，还允许用户使用来自其他 OpenID 提供商的凭证。此外，避免向用户询问登录名/密码似乎更安全。

我的问题是……我不确定这是否是 OAuth/OpenID 的正确用例。我没有从任何其他服务访问数据，我只是在寻找身份验证解决方案。另外，使用 Google App Engine (java) 完成这个场景有多难？

任何建议和/或起点将不胜感激!

Answer 1

My question is... I'm not sure if this is the right use case for OAuth/OpenID.

oAuth 的“用例”是:App X 需要访问 App Y。App X 通过您的凭据“请求”访问 App Y 的权限。 App X 收到“授权访问 token ”。

在您的情况下，假设我理解正确，您可以让 GAE 上的应用程序实现 OpenID 消费者，并让您的移动应用程序通过 oAuth 访问 GAE 应用程序。

换句话说，您的方法似乎是明智的。