authentication - 无状态 RESTful API 和 3rd 方身份验证

Question

我想使用第 3 方身份验证(OpenID，也许是 OAuth，但我猜 OAuth 是用于授权)，以便用户可以轻松登录。

但是，对每个请求进行身份验证是否意味着我多次调用第三方(例如 Google)，即使我不需要它提供任何东西？例如，我使用 OpenID 身份验证，但我使用的 API 是内部的(例如/api/tasks/add)。

Answer 1

让我们先解决理解问题。 OpenID 和 OAuth 有点不同。有一个简单的方法可以记住不同的:

OpenID 是为人类服务的。简单示例:您想跳过无聊的注册步骤并让用户重复使用现有帐户。

OAuth 用于服务/机器人。简单示例:您希望您的脚本使用某些用户的数据访问外部 API。

wikipedia提供了一个简单的解释:

Note that with OpenID, the process starts with the application asking the user for their identity (typically an openid URI), whereas in the case of OAuth, the application directly requests a limited access OAuth Token (valet key) to access the APIs (enter the house) on user's behalf. If the user can grant that access, the application can retrieve the unique identifier for establishing the profile (identity) using the APIs.

所以 I want to use 3rd party authentication ... that user can login easily.可能意味着您将使用 OpenID。

回答您的问题:您无需根据任何请求调用任何第三方服务。这将非常低效和缓慢。 OpenID 提供者将返回用户的凭据，您就可以开始了。



请确保您已正确识别需求。