asp.net-web-api - 用于 IONIC2 应用程序和 Identity Server4 的 OAuth 流

Question

过去一天半我一直在研究 oauth 2 和 IdentityServer4，可以说我认为在这种情况下使用的首选方法是 hybrid flow .以前好像是implicit由于移动客户端无法保护 secret .然后好像变成了authorization flow没有 secret ......(不知道那是如何工作的)

我对 IONIC 和其他跨平台框架的理解是，它们通过将应用程序嵌入到 web view 中来工作。因此，这就是我的困惑所在。从技术上讲，建议为 native 使用混合流。应用程序和 IONIC 不是允许您构建的东西 native应用。

如果 native 应用程序的推荐流程是混合流程，但您使用的是 IONIC 并且因此没有构建 native 应用程序，那么混合流程是否仍然适用？

同样，我的猜测是确实如此，因为由于这将是一个在最终用户机器上本地运行的应用程序，因此该 secret 在那里并不安全。

这也让我有点困惑，因为还有其他流程，例如:credential based必须提供用户名和密码的流程。这让我感到困惑，因为这通常是人们希望用户在移动应用程序中进行身份验证的方式。混合流似乎是不需要用户名和密码的流。

我来自 MVC4 owin 背景。

我的基本架构计划是这样的

认证服务器

API

ionic 应用

Answer 1

用于移动的 Ionic 应用程序应被视为 native 应用程序，并且 OIDC 移动标准推荐的流程是使用 Hybrid+PKCE。

看看 here

如果您想了解如何在 IdentityServer4 上为 ionic 设置客户端，请查看示例 here .不要介意 xamarin 只关注 IdentityServer 部分。