将 OAuth 2.0 身份验证添加到 RESTful API答案

【问题标题】：Adding OAuth 2.0 authentication to a RESTful API将 OAuth 2.0 身份验证添加到 RESTful API
【发布时间】：2014-12-05 20:16:56
【问题描述】：

我有一个需要通过 OAuth 2.0 进行身份验证的 API。我最初预计会使用HWIOAuthBundle，但根据调查，这更多是为了将第 3 方连接到 Symfony 的安全/身份验证机制中，并且不提供验证 OAuth 2.0 Authorization 标头所需的机制。

然后我发现了一些关于 FOSOAuthServerBundle 的信息，它使应用程序能够成为它自己的 OAuth 2.0 提供者，并提供所需的安全机制来验证 Authorization 标头。

但问题是我想将 OAuth 2.0 提供程序（授权服务器）集成到外部应用程序（包含用户群）中，而不是将其包含在 API 中。这将提供一些机制来通过（另一个）RESTful API 对此外部应用程序执行令牌验证。

积分：

我觉得我应该使用Implicitgrant 并在每个请求上调用授权服务器来验证令牌是否正确。

我的想法对吗？

【问题讨论】：

【解决方案1】：

据我了解您的要求，您需要通过外部 OAuth 授权服务器对您的 API 进行身份验证：

这里有一个example，它可能会帮助您实现您的要求。检查这个document。

或者简单地说，您可以使用Jersey and Oauth

另外，您可以查看Apache Oltu 并找出实现您要求的方法。

【讨论】：

【解决方案2】：

许多大公司，如 Google、Facebook 等，都有独立于 API 服务器的授权服务器。在下方查看 Google 的 OAuth 授权流程

您也可以查看 Google 的OAuth Documentation 了解详情。

因此，您需要做的就是实现一个 OAuth 提供程序，以便您可以针对该提供程序进行授权。 OAuth 网站上有一个可用的库列表：http://oauth.net/code。可以具体看here；有一个在 Java 中运行 OAuth 服务提供者的示例。

【讨论】：

【解决方案3】：

oAuth 绝对可以是您的应用程序服务器以外的服务器。下面是身份验证序列的图片：

-- 显然，如果论坛无法解码或验证令牌，论坛将返回 401 状态码而不是 200 状态码。

只要您的 oAuth 服务器和论坛共享相同的公钥，您就可以拆分您的 oAuth 服务器和您的应用程序。

其实看看jwt.io。将从 oAuth 服务器获得的令牌粘贴到那里。它应该能够立即解码令牌。然后，您可以将您的公钥放入“秘密”文本框中以验证令牌是否已通过验证。

您的应用程序（本例中为论坛）应该能够做到这一点：

1) 从请求的 Authorization 标头中获取令牌

2) 解码令牌

3) 检查过期日期

4) 使用 oAuth 的公钥验证令牌

5) 返回成功状态码或失败状态码

【讨论】：