AppAuth或在Android中手动实现OAuth2.0

Question

我试图理解 - AppAuth SDK 真的有什么用？ 我有一个网站（在 OAuth2.0 中充当用户代理），用户在其中插入他的凭据。 我向这个网站传递了一个重定向 URL 作为参数，一旦用户通过网站内部的验证过程，网站就会发送重定向 URL 以及访问令牌。

如果我没记错的话，我有几个选择：

1. WebView - 只需捕获shouldOverrideUrlLoading 回调，并从 url 检索访问令牌。这种方法有什么缺点？
2. 对 Chrome 自定义标签做同样的事情？
3. 对 Trusted Web Activity 做同样的事情吗？
4. 以某种方式集成 AppAuth SDK，但它真正为我们提供了哪些以前的方法不能做或不能处理的事情？

它是否可以处理我可能需要数字资产链接的事实？我真的需要它吗？

Answer 1

关于 AppAuth 库作用的一些注意事项：

• 基于标准的移动安全 - 如OAuth 2.0 for Native Apps 所述
• 实施推荐的授权代码流 (PKCE) 流程
• 通过系统浏览器登录（不推荐通过 Web Views 登录）
• 作为经过认证的图书馆，它可以为您的公司提供良好的安全广告
• 良好的登录可用性 - 密码自动填充之类的东西可以工作

不过，可靠地集成这些库是一项艰巨的工作。选择解决方案总是需要根据您和您的利益相关者最关心的内容进行权衡。如果有帮助，我会提供一些详细但直观的博客文章和一个您可以运行的应用程序，以帮助您进行评估：

• Code Sample
• Blog Posts

Answer 2

AppAuth 只是一个库，其中包含很少的预定义方法，这对于任何 OAuth 提供者来说都很常见。例如，Microsoft 使用基于 AppAuth 的MSAL，有助于验证用户并获取访问令牌。

但是，您绝对可以在不使用AppAuth 的情况下自行实现。您可以打开 ChromeCustomTab 并收听重定向 URL。

例如

<activity
    android:name=".ui.activity.LoginActivity"
    android:launchMode="singleTop"
    android:screenOrientation="portrait"
    android:theme="@style/BaseTheme.Login">

    <intent-filter android:label="@string/activity_login">
        <action android:name="android.intent.action.VIEW" />
        <category android:name="android.intent.category.DEFAULT" />
        <category android:name="android.intent.category.BROWSABLE" />

        <data
              android:host="oauth2redirect"
              android:scheme="com.example.appname" />
    </intent-filter>
</activity>

正如您在上面看到的，打开 ChromeCustomTab 的登录页面会侦听重定向 URL，即 com.example.appname://oauth2redirect，其中将包含身份验证代码。您的实现可能会有所不同，但核心原则保持不变。

您还可以查看here 以了解有关使用 ChromeCustomTab 进行 OAuth 的更多信息。