我应该将 OAuth（或其他什么）用于移动应用程序的后端吗？ - 在这种情况下只有*一个*“第三方”应用程序

Question

我正在开发一个移动应用程序及其后端 (Java)。我应该如何验证用户（使用我们自己的帐户系统，而不是 Google/GitHub 帐户之类的东西）？一种方法是创建 OAuth2 服务器。不过，我的后端不是巨人，我在OAuth的定义中只有一个“第三方应用”……

所以我想知道在这样的移动应用中最好的身份验证方式是什么？谢谢！

附：另一个想法是使用 cookie，就像过去开发浏览器网页时一样。但我很少看到应用程序这样做。我看到他们中的大多数人发送Authorization: Bearer the_token_values...

^{P.S.2 我正在使用 Flutter 和 Java Spring。}

Answer 1

如果您的身份验证系统无论如何都支持 OAuth，请使用它。 OAuth 的优势在于标准化。使用标准协议有很多优点。最重要的是，很难想出一个防弹认证系统。在过去十年中，许多备受瞩目的黑客攻击都归因于本土认证协议。

使用 OAuth 或其他广泛接受的协议的另一个优点是库的可用性。如今，您可以找到适用于任何平台和任何语言的 OAuth 库。

请记住，OAuth 并不是唯一的游戏。还有其他很好的协议。可能最防弹的方法是 mTLS。它需要强大的公钥基础设施，但它可能是最难破解的。如果您在使用 Active Directory 并编写内部应用程序的旧学校环境中，请考虑使用 Kerberos。最后是 SAML，它非常有进取心，使用起来很痛苦，但它比普通的 OAuth 更灵活。