是否有任何 OAuth 授权支持代表用户授予访问权限，而无需用户交互？

Question

我们有一些网络服务，以及一个保护对它们的访问的 OAuth2 服务器。

我希望我们的外部客户能够在他们的移动应用中使用这些网络服务。但在某些情况下，他们希望维护自己的登录名/密码数据库，而不要求用户单独对我们的 Web 服务进行身份验证。在这种情况下，客户端拥有我们这边的用户标识符，这些标识符对应于他们自己的用户（我们在 OAuth 流程之外同步这些标识符）。

所以，假设用户已经在客户端建立了会话，我希望能够给他们某种访问令牌，授予他们访问我们这边相应用户的权限，而不提示他们单独密码。我该怎么做？

一种方法是要求客户为我们的网络服务设置一个代理，受他们自己的会话保护。他们的移动应用程序会直接向代理服务器而不是我们的网络服务发送请求。他们的服务器可以使用client-credentials grant 获取访问令牌，并将其添加到任何传入请求中，然后再将它们代理到我们的服务器。

有没有更好的方法？对于客户端来说，这似乎有点难以实现，您必须以某种方式验证传入的请求没有尝试访问其他用户的数据。

是否有任何授权允许客户端的服务器代表单个用户请求访问令牌，而无需用户交互？然后也许令牌可以返回给应用程序，应用程序可以使用它直接访问我们的网络服务。通过客户端凭据授予，令牌授予所有用户访问权限，因此返回单个用户的应用程序是不安全的。

Answer 1

在未经用户登录或同意的情况下访问用户资源是反 oauth（不管是 1.0a 还是 2.0）。因此没有 grant_type 直接支持这一点。

还有代理的提议，可能不是一个好主意，原因有两个。

1. 安全性：该代理将在您的系统上打开一个大洞， 知道用户的电子邮件，攻击可以从中获取所有数据 你的系统。
2. 可维护性：您将如何跟踪 客户端凭据令牌可以访问某个电子邮件 系统？这可能会在您的应用程序中创建不必要的检查点。

现在，这里是一个建议的解决方案，它可以在不改变您的应用程序的大部分情况下工作

请注意，最好启用双向验证或某种形式的额外安全验证。

如果这不能解决问题，请告诉我。