oauth-2.0 - 在没有第 3 方的情况下对 API 使用 oauth

Question

我知道 OAuth 2 在您想将授权委托(delegate)给第三方的情况下非常有用(即 someapp.com 想要访问您的 facebook 照片)，但是在您只是有一个没有第三方的 RESTful API，并且您想保护您的端点？或者创建一个生成短期 JWT 的/login 端点就足够了吗？

Answer 1

您可以将这种情况视为客户端消耗资源服务器。在这里，客户端是您的前端，例如移动客户端。资源服务器就是您的 RESTful api。并且使用 OAuth 2.0 访问 token 消耗资源。这意味着，您的客户端在发送到 RESTful api 的每个请求中都包含访问 token 。看看The OAuth 2.0 Authorization Framework: Bearer Token Usage了解如何做到这一点。

这种方法的一个优点是能够交替使用获取访问 token 的方法。这意味着，最初它可能是一个内部身份提供者来发布它们。但是如果你决定你的身份提供者是谷歌(允许使用谷歌登录这种情况)那么这种方法仍然有效。它使您的应用程序可以轻松扩展到不同的用户存储(如果您想要支持的话)

此外，考虑具有多个客户端的场景(例如:- 移动、SPA 和 native .Net 客户端)。使用访问 token (基于 OAuth 2.0)将从 RESTful 服务端点生成统一接口(interface)(它独立于客户端)。因此，您能够针对相同的服务开发不同的客户端。

备选方案是(如您所述)在完成登录后保持 session 。但是随后您将必须登录应用程序的相关逻辑，这会使将来更难更改。