使用什么 OAuth2.0 流程来保护我的 Rest API？

Question

我有一个供不同客户端使用的 Rest API：

• 浏览器，使用 swagger 时
• 邮递员，调用 API 时
• 卷曲
• 其他 HttpClients、jvm、Python 等。

我希望所有客户端都通过 Azure AD 进行身份验证。所以他们每个人都必须有一封电子邮件，在 Azure AD 前进行身份验证，然后将一些令牌传递给我的 Rest API，在后端我将验证令牌。我真的不明白要使用哪个流程。最接近我的场景的一个似乎是凭证流，但我仍然不明白它是如何适应的。 这张照片是我想要实现的目标：

Answer 1

OAuth 2.0 On-Behalf-Of flow (OBO) 服务于应用程序调用服务/Web API，而后者又需要调用另一个服务/Web API 的用例。这个想法是通过请求链传播委托的用户身份和权限。为了让中间层服务向下游服务发出经过身份验证的请求，它需要代表用户保护来自 Microsoft 身份平台的访问令牌。

根据您的情况，建议使用On-Behalf-Of flow (OBO)。