API的外部oAuth服務器

Question

我有一個oAuth 2服務器實現的API來驗證客戶端。目前，oAuth服務器的API &位於一臺服務器上。我想知道是否可以將oAuth服務器移到其他位置並將其用作外部服務，但我不確定這是否是一個愚蠢的想法。

我的計劃是：

客戶 - >請求（有OAuth認證） - >API.example.com - >請求（有OAuth認證） - >的OAuth。 example.com

成功的OAuth

oAuth.example.com - >返回成功 - >API.example.com（做了一些工作） - >返回結果 - >客戶

我想這樣做是爲了基於OAuth的認證和API分離因爲過去我有一些技術上的困難，更新API可能會破壞oAuth（如果底層技術發生變化）。

這個想法是否存在風險？是否有任何資源可以讓我更好地瞭解潛在的風險或問題？

Answer 1

所以我通過Twitter問Phil Sturgeon，他回答說，將oAuth服務器分離到不同的服務器或至少是不同的代碼庫是一種很好的做法，他當然也使用它。他還在他的書「你不會討厭的構建API」中寫道。

由於他一直在處理許多API & API驅動的項目我會認爲這是一個合法的來源和一個很好的答案。