oauth2是否適合通過移動客戶端關閉API訪問？

我看到OAuth2成爲下一個認證方案。上下文一直允許第三方客戶端進行身份驗證，而不會放棄用戶名/密碼。oauth2是否適合通過移動客戶端關閉API訪問？

如果我有一個不適合第三方訪問的API，那麼唯一的用戶將通過我提供的移動客戶端成爲最終用戶？在這種情況下，OAuth2仍然適用，還是可以通過使用更受歡迎的現有方案之一獲得，例如HTTP AUTH？

2011-02-24 HappyCoder

您如何確保通話只對您的手機客戶開放？有人不可能繞過你的移動客戶端並撥打電話。 – 2011-02-24 23:08:04

安全性不應該比通過網絡瀏覽器驗證到服務器的用戶更緊密。我不會認證客戶端軟件，只是訪問API。 – HappyCoder 2011-02-25 00:01:14

如果你願意，你可以做這種事情，它通常被稱爲「雙腿Oauth」。 Oauth是一個相當複雜的協議。它需要，因爲它做的事情非常複雜。

無論如何，我們在工作中使用了雙腿Oauth來處理幾件事情，它大大地複雜化了事情。我們使用它的方式只是結束了HTTP的基本身份驗證的更復雜版本，但沒有任何實際的好處。有兩種有效的使用情況，但我不認爲更換Basic Auth應該是其中之一。 http://sites.google.com/site/oauthgoog/2leggedoauth/2opensocialrestapi就是一個很好的例子，說明爲什麼你可能想要使用雙腿的Oauth，還有一些更多地分散在網絡中。

我建議遠離它，除非你能想到一個好的，具體的理由來使用它。不要僅僅因爲它很時尚而使用它。

來源

2011-02-24 23:10:03 mblinn

我會吻開始。 HTTP AUTH + HTTPS。我會在需要時進行升級。 – HappyCoder 2011-02-25 00:14:49

好計劃。我不得不求助於閱讀該規範，以便弄清楚足以獲得一些簡單的客戶端/服務器身份驗證運行。但也許我只是困惑... – mblinn 2011-02-25 03:36:05

我總是閱讀規範。它是唯一的權威來源，並且對於複雜的身份驗證，您確實需要關於此主題的權限 - 對於某些教程或其他某些方面來說，重要的細節錯誤很容易。 – 2011-02-26 21:04:45

oauth2是否適合通過移動客戶端關閉API訪問？

回答

相關問題