API 的移动客户端身份验证

Question

我想知道将我的移动客户端身份验证到我的后端 REST API 的正确方法是什么。 我有带有 oauth2 功能的 REST API 后端。 我的网络客户端使用了 oauth2 密码授予流程。 用户在 Web 客户端登录页面上输入用户名和密码，然后客户端向后端发送 post 请求以及客户端 ID 和客户端密码。它是服务器到服务器的通信，因此我可以安全地存储客户端密码。 现在我有 android 移动应用程序。根据一些建议，将客户端密码存储在移动应用程序中是不安全的，因为它可以被拆卸。 我应该为我的移动客户端使用什么 oauth2 流程？ 无法使用授权码授予和密码授予，因为我无法安全地存储客户端密码。 隐式授权流不验证应用程序的身份

Answer 1

OAuth2 recommends 移动应用程序使用隐式授权或代码授权授权。使用代码授权授权时，您应该这样做而不通过发送客户端 ID 和机密来验证客户端（因为您无法在移动客户端中安全地保存机密）。

隐式授权不会返回刷新令牌。