web-services - 为 iOS/Android 应用程序保护基于 REST 的服务的选项

Question

我正在开发一个实现在线购物功能的网络应用程序。我正在使用 Struts2 + Spring + Hibernate。我正在使用 Spring security 来实现授权和身份验证。

现在我的客户想要开发一个 iOS/Android 应用程序，我的网络应用程序的用户可以登录并使用该应用程序的某些功能。

移动应用程序将访问基于 JSON 的 REST 网络服务，该服务将使用 Jersey 实现。这是我的问题:

1. 用户将拥有三个角色中的一个角色。根据角色，他们应该能够访问特定资源。我正在考虑将 Spring Security 2.0 与 Jersey 一起使用，并使用 OAuth 2.0 对用户进行身份验证。 OAuth 2.0 是正确适用的选择吗？

2. 另外，Jersey 在服务器端不支持 oAuth 2.0。不过我想我应该能够使用任何其他 OAuth 提供程序来保护 Jersey 服务吧？

3. 如果 oAuth 不是正确的选择，那么我可以使用什么来为移动应用程序用户提供基于角色的身份验证和授权以访问我的 REST Web 服务。

Answer 1

不要忘记您可以使用简单的 HTTP BASIC 身份验证(当然还有 SSL)。

有关 OAuth 版本的比较，请参阅 this.