api - OAuth(访问 token )与 API key

Question

我遇到了很多文章，很多文章都建议在 API key 上使用 OAuth。据我了解，在 OAuth 中，我们终于获得了访问 token ，它的有效期为很多天。例如，QuickBooks 在线 OAuth token 的有效期为 6 个月。

因此，访问 token 相当于 API Key。无论谁得到它，它都应该像 API key 一样安全。 OAuth 调用应该通过 HTTPS 进行，类似于基于 API key 的调用。

与 OAuth 相比的另一个优势是授权。但是我们可以对 API Key 模型做同样的事情。例如，我们可以像这样在我们的数据库中定义规则 API key 可以访问这些 API .

现在，OAuth 的真正优势是什么？如果我们实现 OAuth，我们必须要求我们所有的客户在他们的服务器中安装 OAuth 支持库。这对他们和我们来说都是一项复杂的任务。而在 API Key 模型中，它是一个简单的网络调用，没有其他额外的库和复杂性。

我的目的只是为了更好地理解 OAuth，而不是与 API Key 模型进行比较和争论。

注:
我不是在谈论 Google 和 LinkedIn 那种用户必须查看并授予权限的模型。我只是在谈论我们提供给我们自己的客户的 API。

提前感谢您的帮助。

Answer 1

仅当您希望服务的用户允许第三方客户端应用程序访问他/她托管在您的服务中的数据而不向应用程序透露他/她的凭据(ID 和密码)时，才需要 OAuth。

一对 API key 和 API secret 可以做的只是客户端应用程序的身份验证。 如果您可以允许经过身份验证的客户端应用程序在未经用户明确同意的情况下访问用户数据，则您不必使用 OAuth。