«Auth» в OAuth - это не аутентификация, а авторизация. Это означает, что, если вы являетесь поставщиком услуг, вы можете поддерживать OAuth, чтобы разрешить пользователям предоставлять доступ к отдельным ресурсам для любых OAuth-ориентированных потребителей, если пользователи хотят. OAuth имеет собственную архитектуру безопасности, обеспечивающую весь процесс проверки, предоставления и авторизации ... Тогда проверка подлинности является важным шагом для любых дальнейших запросов.
Вы правы. Facebook iPhone не использует OAuth для аутентификации, хотя может. Вы можете проверить это здесь . И я думаю, потому что это приложение от самого Facebook, и сложно добавить еще один уровень безопасности, когда вы точно являетесь владельцем сайта.
Так что аутентификация на основе файлов cookie - это нормально, если вы не планируете поддерживать другие сторонние клиенты для доступа к ресурсам ваших пользователей. В противном случае вы, вероятно, захотите предоставить OAuth, и я думаю, что это стоит реализовать, потому что, кто знает, YGNI, в будущем.