Доступ к моему собственному API REST с авторизацией OAuth

Question

Я довольно новичок в обеспечении безопасности OAuth и API.

Я создаю API REST, к которому будет обращаться мое собственное мобильное приложение.

Я хочу предоставить API другим разработчикам через авторизацию и аутентификацию OAuth, и я буду использовать свой собственный поставщик OAuth.

Какова стратегия аутентификации для моего мобильного приложения? В конце концов, мне не нужно, чтобы пользователь санкционировал мое приложение. Могу ли я использовать OAuth для аутентификации, когда мое собственное мобильное приложение предварительно авторизовано по умолчанию?

Могу ли я аутентифицировать пользователей моего мобильного приложения с помощью OAuth или мне нужно что-то вроде OpenID?

Answer 1

Я не думаю, что вы хотите oauth, если вы хотите перейти на шаг авторизации пользователя. Однако, если вы решите использовать oauth, вы можете замаскировать шаг авторизации в качестве диалогового окна входа в систему или предоставить вашему приложению токен доступа. Пользовательская авторизация является довольно значительной частью функциональности oauth, поэтому ее игнорирование, вероятно, означает, что вы должны использовать другой интерфейс для доступа к информации ваших пользователей.

Answer 2

Accessing my own oauth REST API - OAuth НЕ НУЖНО иметь дело с REST apriori: OAuth - протокол авторизации, REST - стиль архитектуры.

Для OAuth - используйте версию 2.0 - это уже 2012 год.

What is the authentication strategy for my own mobile app? - для мобильного приложения на Android, например, вы можете использовать аккаунт пользователя, с которого зарегистрировался его телефон в магазине GooglePlay/GMAIL (а затем с одного сервера на другой сервер). Если вы не предоставите их в своем приложении - выполните явную аутентификацию.

В настоящее время, вероятно, только калькулятор не использует явную аутентификацию - так почему вы должны отличаться? Вы можете связать вас с аутентификацией с FB или Google или любым другим провайдером OAuth - что заставляет вас создавать своего надлежащего поставщика OAuth?

Вы можете аутентифицировать пользователей как с OAuth, так и с OpenID.