【发布时间】：2021-05-18 02:36:43
【问题描述】：
似乎 OAuth 2 是为第 3 方应用程序而不是第 1 方应用程序设计的。
我知道 OAuth 2 是一个委托协议，资源所有者授予客户端使用资源服务器的权限。
如果我为我的移动应用程序构建和 REST API，我该如何处理登录流程？我必须使用 OAuth 2 还是只使用自定义方法？
【问题讨论】：
标签： oauth-2.0
【发布时间】：2021-05-18 02:36:43
【问题描述】：
OAuth 不仅仅涉及第三方访问，而且是一个更具架构性的主题。我会从应用能力的角度来总结一下：
-
用户身份验证的多种方式 - 使用熟悉的凭据和强大的安全性获得最佳登录用户体验
-
按区域管理和保护数据的最佳选择，有许多围绕声明和运行时行为的设计模式
-
与业务合作伙伴整合并满足某些类型法规的最佳选择
-
通过从您的应用中外部化许多困难的东西来启用简单的代码
如今，几乎每个人都对使用基于 OAuth 的解决方案进行了标准化，并且没有真正的主流替代移动应用程序和 API。
虽然这是一段旅程，但在早期，它是关于选择你的时刻并从你的利益相关者那里获得支持。作为一垒，我可能会瞄准这两个品质：
-
决定免费或低成本（云？）授权服务器 - 看看您的利益相关者是否对登录 UX 和用户入职方面感到满意
-
实施使用 OAuth 的移动概念验证应用。如果没有阻塞问题，您将拥有比以前更好的能力。
如果有帮助，请参阅我的以下 2 篇博客文章，它们旨在通过最标准的库及其官方示例提供快速的移动 OAuth 设置：
【讨论】：
-
如果我对第一方应用程序使用 OAuth 2 授权代码流，我可以跳过同意书吗？我拥有应用程序和 API，因此用户将拥有完全权限。他们不需要为每个 API 授予权限。
-
是 - 当涉及个人资产时使用同意 - 例如用户的 Google 文档 - 如果资产特定于应用程序或软件公司，通常会跳过它。这并不总是得到很好的解释。