OAuth 资源所有者密码流和 HMAC

Question

我有一个 web api 应用程序，它实现了 OAuth 规范中的资源所有者密码流。一切正常。

实际上，我使用这样的身份验证过滤器配置了 WebApiConfig 类中的所有内容

// Configure Web API to use only bearer token authentication.
config.SuppressDefaultHostAuthentication();
config.Filters.Add( new HostAuthenticationFilter( OAuthDefaults.AuthenticationType ) );

由于我的一些客户要求使用不同的身份验证方法，我正在评估为我的服务添加一些功能，但仍然不清楚这些功能如何协同工作。

特别是我遇到了link，它用非常简单的语言解释了如何在 web api 中实现 HMAC 身份验证。

我可以实现这个认证方法，让客户选择他要使用哪一个吗？它们可以凝聚在一起吗？

Answer 1

是的，您的 Web api 服务可以在 WWW-Authenticate 质询中发回多个方案。例如，在您的情况下，它可以发回“bearer”和“hmac”。

有关使用多个方案的更多信息，另请参阅 this question。

顺便说一句，支持资源所有者密码流的不是您的 Web api 服务。客户端使用此流程从授权服务器获取令牌，它可以在承载方案中与您的服务（资源服务器）一起使用。 HTH。