OAuth 2.0 是必须下载的概念还是有形框架？

Question

我对您专业称之为“OAuth 2.0”身份验证系统的东西有些困惑...

我已经构建了一个 MVC RESTful API 接口，该接口将其用户名和密码值作为模型存储在 SQL Server 中。

因此，每当用户通过访问 POST:http://example.com/api/login 登录我的服务时，该 URL 只会返回一个 JSON，其中包含属于您登录的用户的访问令牌。

一旦您拥有登录时使用的特定用户名的访问令牌，您就可以执行需要用户权限的操作，例如： 发帖：http://example.com/api/createRecord

那么您可以从头开始构建 OAuth 2.0，还是 OAuth 不仅仅是访问令牌的概念？

Answer 1

在您的示例中，客户端应用程序通过向 /api/login 提供用户凭据（ID 和密码）来获取访问令牌。另一方面，OAuth 2.0 是一个框架，在该框架中，服务的用户可以允许第三方客户端应用程序访问他/她在服务中托管的数据，而无需将他/她的凭据（ID 和密码）透露给应用程序。除非您的服务的用户将他/她的凭据传递给应用程序，否则您的服务的当前实现无法允许第三方客户端应用程序访问您的服务。

了解上述要点并阅读RFC 6749，您会发现OAuth 2.0 是您需要实施的规范。