使用OAuth2進行身份驗證而不是授權是一個壞主意？

我從網上的很多消息來源讀到，OAuth2是用於授權並使用它進行身份驗證的，這是一種不好的模式/想法。但沒有人真正解釋它爲什麼。它是不安全的，難以實施還是什麼？使用OAuth2進行身份驗證而不是授權是一個壞主意？

2016-01-26 Cluk3

[This answer]（http://security.stackexchange.com/a/44614/8340）應該解釋一些事情。 – SilverlightFox

並非如此，它解釋了OpenId和OAuth是如何工作的，但它仍然不能解釋爲什麼我不應該使用OAuth2（或OpenId Connect）來驗證用戶身份。 – Cluk3

您打算如何使用OAuth2進行身份驗證？請爲您的問題添加一些細節。 – SilverlightFox

OAuth2用於應用程序級別授權，不用於用戶級別驗證。

想象一下，您構建一個api和一個前端，而您只希望前端能夠在所有其他請求被拒絕的情況下訪問api。這是OAuth2使用情況的有效方案。

2016-06-07 12:35:13

回答