java - 当应用程序本身依赖第三方 OAuth 时，如何提供基于 OAuth 的 API

Question

我有一个 Java 网络应用程序。它依靠 Google OAuth 来验证和授权用户。我想为我的应用程序提供一个 API，它也必须使用 OAuth。在没有用户数据库和授权机制的情况下，是否可以自己提供OAuth？有没有人实现过？

Answer 1

OAuth 规范没有对如何验证(即登录)用户做出任何特定声明 - 只是在验证成功后如何将凭据传递给其他服务器。没有特别的原因，在其他服务器可能放置登录框的步骤中，您不能改为与另一个不相关的服务器启动 OAuth 事务。

但是，您将需要某种数据库来将您颁发的凭据(即您的客户将用于操作您的 API 的凭据)与您从上游服务器收到的凭据联系起来——无论这些数据是否需要在服务器关闭等情况下保留，取决于您是否希望第三方客户端能够长期使用他们的凭据。