Подходит ли oauth2 для закрытого доступа API через мобильный клиент?

Question

Я вижу OAuth2 в качестве следующей схемы аутентификации.Контекст позволял сторонним клиентам проходить аутентификацию, не отказываясь от имени пользователя / пароля.

Как насчет случая, когда у меня есть API, который не предназначен для доступа третьих сторон - единственными пользователями будут конечные пользователи черезмобильный клиент, который я предоставляю?Будет ли OAuth2 по-прежнему уместным в этом случае, или я могу использовать одну из наиболее популярных существующих схем, например HTTP AUTH?

Answer 1

Вы можете делать такие вещи, если хотите, их обычно называют «двуногий Оавт». Oauth - довольно сложный протокол. Так и должно быть, поскольку он делает что-то довольно сложное.

Во всяком случае, мы используем двуногого Oauth для нескольких вещей на работе, и это сильно усложняет ситуацию. То, как мы его используем, просто приводит к более сложной версии базовой аутентификации HTTP, но без каких-либо реальных преимуществ. Есть несколько допустимых вариантов использования для двухногого oauth, но я не думаю, что замена Basic Auth должна быть одним из них. http://sites.google.com/site/oauthgoog/2leggedoauth/2opensocialrestapi является хорошим примером того, почему вы можете захотеть использовать Ouuth с двумя ножками, в Интернете есть еще несколько рассыпаний.

Я бы рекомендовал держаться подальше от этого, если вы не можете придумать вескую, конкретную причину его использования. Не используйте его только потому, что это модно.