我是安全领域的新手，所以不知道这个问题在这里问是否有效。我目前正在使用 OpenAM 来确保我的 Web 应用程序与 J2ee 代理的安全性，现在我发现 OpenAM 可以使用 OAUTH 以及定义的基础策略进行授权，现在 openam 和 oauth 都为有效用户开发令牌，并且不共享应用程序的用户凭据，那么两者有什么不同呢？我的第二个问题是，如果我的应用程序不支持像 google 和 facebook 这样的 oauth，我需要做哪些基本操作才能在我的应用程序中实现 oauth。
【问题讨论】：
如果您对此感到困惑，OpenAM 支持基于 OAuth 的授权。它还支持
1) OpenID 连接 2）SAML
您的应用程序可以使用其中任何一种来从 OpenAM 获得授权。您的应用程序也可以为此目的使用 REST API。选择权在你。
就令牌而言，OAuth 令牌不同于 OpenAM 令牌。 OAuth 令牌包括
1) 刷新令牌 2) access_token
access_token 用于进行基于 oauth 的调用。但是，OpenAM 令牌基本上是 cookie 中的内容或您通过 REST API 获得的内容。
关于您的第二个问题，要支持 OAuth，您需要使用 oauth 客户端库并在服务器端启用 oauth（在本例中为 OpenAM）。此客户端库将取决于您选择编写此应用程序的语言。
【讨论】：