不涉及第 3 方应用程序时需要 OAUTH2？答案

【问题标题】：OAUTH2 needed when no 3rd party apps are involved?不涉及第 3 方应用程序时需要 OAUTH2？
【发布时间】：2015-10-24 18:06:12
【问题描述】：

目前我正在尝试使用 REST api 在 node.js 中创建一个服务器，以从 Android 和 iOS 中制作的应用程序执行 CRUD 调用。

当然，我希望这个 REST api 尽可能安全。在过去的几天里试图找到最好的方法似乎是通过 HTTPS 的 Oauth2 服务器。

我知道有很多这样的东西，但我找不到任何简单的解释来说明它应该如何工作。所以请不要将此标记为重复的问题，因为我实际上对此感到困惑。

阅读有关 Oauth2 的信息，android/ios 中的应用需要向服务器注册。我所看到的任何地方都被认为是第 3 方应用程序，但对我来说并非如此。

如果用户决定允许，Oauth2 似乎更像是一种让第三方应用程序访问我的 REST api 的安全流程。就像任何支持使用 facebook 或 G+ 登录的应用程序一样。

但是原始应用程序是如何做到的呢？喜欢 Facebook、Twitter 和 Google+ 的官方应用程序？

他们是否有可能将 Oauth2 基础知识与访问/请求获取等一起使用，但跳过整个用户批准部分，因为它不是第 3 方应用程序。或者他们可能在标题中使用更简单的用户名和密码，或者通过 https 发布？

如果我目前不打算将第 3 方访问权限添加到我的 api，我真的不确定在这里采取什么方式。有什么好的方法可以继续？

【问题讨论】：

【解决方案1】：

绝对是的！它被称为two legged authentification（它与存储在您的授权服务器数据库中的用户凭据一起使用）。它仅意味着您的客户端应用程序和您的资源服务器）你可以在这里查看一些文档：

和官方规范（在第 10 页，您可以看到我用于我的应用程序的工作流程）： https://www.rfc-editor.org/rfc/rfc6749#section-1.3

【讨论】：