本地产品的 API 保护

Question

上下文：

我们已经开始通过 REST API 公开本地产品的功能。

问题：

如何保护 REST API？选项之一是 OAuth2，但我不希望依赖于 OAuth2 服务器，IMO 可能并非对所有客户都可用。 HMAC 签名是一个可行的选择吗？如果是，与OAuth2相比有哪些优缺点？

Answer 1

OAuth 2.0 是保护 REST API 的方法。授权服务器可以作为产品和部署的一部分交付，它不需要是由客户运行的重量级预先存在的组件。