我正在尝试使用两条腿的 oauth 来允许移动客户端登录到我创建的 api，但是我无法完全理解正确的工作流程，并且所有教程似乎都说了一些不同的东西。
根据我在两条腿版本中读到的内容，oauth 消费者密钥和消费者秘密是专门分配给用户的，并且不使用令牌。因此，当用户登录时，他们（或他们的设备）必须出示他们的消费者密钥和秘密，我们可以使用它来验证他们的身份。但是然后呢？客户端设备是否会收到一些他们用来访问 API 的令牌，或者他们是否会在每个请求中发送消费者信息？
而用户只能记住用户名和密码，我们如何从客户端设备上的用户名和密码获取消费者密钥和秘密以发送到服务器？
【问题讨论】：
标签： oauth
您不应该为每个客户端设备都有一个消费者密钥/秘密对。 “消费者”的 OAuth 概念是使用 API 向您进行身份验证的特定站点或开发人员。谁在创建用户名/密码对？这些是您的用户帐户，还是您正在寻找能够使用 Yahoo、Google 等帐户登录您的用户？
无论如何，我希望用户拥有用户名和密码，而不是消费者密钥和消费者秘密。
【讨论】：
2-legged OAuth 删除了一个单独的 authN/authZ 服务器，该服务器直接与 3-legged OAuth 中存在的客户端对话。它当然确实涉及（访问）令牌。客户端设备将收到一个令牌并可以使用它直到它过期。
此设置的优点是您无需担心每次 API 调用中 client_id/secret 的安全性。每次调用都发送 client_id/secret 是基本认证，不推荐。相反，通过使用 OAuth，您只需要担心用于获取令牌的 API 调用中 client_id/secret 的安全性（例如，每个令牌的生命周期一次）。如果一个令牌被泄露，它有一个 TTL，而 client_id/secret 没有。
提供自己的用户凭据的最终用户不知道 client_id/secret。客户端应用程序应为令牌处理 client_id/secret 的协商。
【讨论】：