当 Auth 和 Service Provider 相同时，OAuth 有用吗？

Question

在阅读有关 REST API 和安全性的内容时，您总是将 OAuth 2.0 视为身份验证的灵丹妙药。但实际上深入规范，真正的 OAuth 2.0 要求服务和身份验证提供程序是分开的，主要是身份验证提供程序可以用于多种服务。客户端也是不受信任的，也没有提供凭据。如果您的服务和身份验证提供者相同，OAuth 似乎过于复杂。

除此之外，许多 API 只是在不记名令牌流中使用某种客户端 ID/客户端机密。这并不比用户名/密码进入会话更好。

Answer 1

您在 Auth[-Provider] 和 Service-Provider 之间进行拆分，但实际上涉及 3 个部分：

1. 身份验证。
2. 服务提供商。
3. 服务消费者。

身份验证和服务提供者由同一方完成是很常见的。

这取决于服务消费者，您是否需要 OAuth。如果您希望第三方应用程序代表您的用户使用您的服务，OAuth 非常有用。