部署OAuth2.0授權系統時需要身份驗證嗎？

Question

OAuth官方網站已經明確提到OAuth是授權協議，而不應該被認爲是認證協議。這裏我對此感到困惑，如果OAuth 授權用戶沒有身份驗證他們在第一個地方。

另一個問題是：我正在設計API來爲用戶提供Web服務。如果我使用OAuth2.0，我需要登錄系統嗎？如果是這樣，如何建立這個登錄系統？

Answer 1

授權（在OAuth環境中）包含認證作爲其一個步驟，但OAuth規範（RFC 6749）有意避免討論如何認證用戶。

因此，您可以根據需要選擇任何身份驗證方法。例如，

• ID &密碼（最典型的）
• 指紋
• 虹膜識別
• 隨機表
• 一次性密碼

所以，你的理解是正確的。您需要一個登錄系統（或任何可以識別用戶的身份）進行身份驗證。 OAuth規範將身份驗證留給您。