android - OAuth，当您拥有所有客户端、授权服务器和 protected API 时

Question

我想知道 OAuth 是否适合我。

我需要编写一个可由多个客户端访问的 REST 服务(或多个 REST 服务)。所有的客户都将由我来写。该服务将由我编写。至于授权服务器，它只会使用本地帐户，根本不需要外部登录。

鉴于此，我觉得隐式流程和授权代码授予流程不适合我。我觉得在这种情况下使用重定向是愚蠢的，因为我编写了客户端，是身份提供者等等。

我是否应该根本不使用 OAuth？我应该用什么来代替？或者，如果我要使用 OAuth，我是否必须使用 ROPC 以避免重定向？

如果 OAuth 是答案，我可以使用任何解决方案吗？ Azure AD B2C？或者我应该自己编写，如果是这样，是否有人有关于如何使用 .NET Core 执行此操作的任何资源？

我应该提到，我们还将使用长期运行的服务，其中客户端凭据流非常适合。

Answer 1

隐式流只是 OAuth2 为客户端应用程序定义的方式之一，用于获取随后用于调用服务的 token 。它只能由浏览器嵌入 (SPA) 应用程序使用。 A blog I wrote lists the other flow types and when to use them

是的，您应该考虑使用 OAuth2，除非您不关心谁调用您的服务，因为没有其他人可以(您在诺克斯堡内的完全封闭的网络上运行)或者您无法想象有人会想要调用它们。 (抱歉我的幽默感)。 OAuth2 的目的是管理相互调用的应用程序的权限。与其他协议(protocol)相比，它的优势在于它支持最常见的场景(守护进程客户端、Web 应用程序、IOT 设备等)