android - REST api项目的用户认证方法

Question

我的网络服务器有一个 REST API。我需要在我的应用程序中添加用户身份验证，我的思考过程是这样的:

1. 从应用表单中获取用户的用户名和密码
2. 加密密码并对用户名和密码进行Base64编码
3. 通过 HTTPS 将数据发送到 REST API
4. Web 服务器验证凭据，返回错误或成功

这安全吗？我看到很多人提到 OAuth2。它是什么？它比我的流程有什么优势？

Answer 1

您对用户密码使用“加密”一词而不是“散列”这一事实表明您对此知之甚少。这几乎肯定会导致您在某个地方弄乱您的身份验证程序，并使您的用户私有(private)信息面临风险。

关于 OAuth2 的一个非常重要的一点是它可以与许多现有的第三方提供商(Google、Facebook、Twitter 等)一起使用，而您只需付出最小的努力。

您无需执行任何操作来存储凭据甚至验证用户身份。第三方负责所有这一切，只需向客户端提供一个 token (长随机字符串)，然后将其传递到您的服务器。然后，您的服务器与第三方服务器通信以确保 token 有效(并获取您需要的任何信息，例如用户名、电子邮件地址或其他信息)。

如果可以的话，你真的应该考虑使用它。大公司投入了大量精力来保护他们的身份验证方法，您可以通过使用它来获得所有这些。

最后一点是用户不需要为(还)另一个帐户创建和记住凭据。

Google 有一些文档 get you started并包括 OAuth playground以测试它在实践中的工作原理。