是否需要我自己的客戶端通過OAuth與我的REST API進行交互？

Question

目前我們有一個REST API和一個客戶端，客戶端通過HTTPS驗證用戶身份，並接收一個訪問令牌。然後，對於需要身份驗證的每個請求，客戶端將使用URL和查詢字符串以及服務器和客戶端之間的共享密鑰從請求主體創建一個HMAC。是否需要我進一步採取這種做法並在我自己的客戶端API之間實現OAuth？

Answer 1

您似乎正在以類似的方式在OAuth（v1.0a）中執行身份驗證。不過，我建議你在HMAC創建中加入一個時間戳和一個隨機數，並在你的API中檢查這些以防止重放攻擊。