Разработка Secure API для собственного мобильного клиента

Question

Я занимаюсь разработкой API - здесь нет проблем

API будет использоваться моим мобильным клиентом для связи с веб-сервисом.

Моя проблема в том, что я не знаю, какая система аутентификации, чтобы люди могли войти в собственное приложение, а API знает, какой пользователь отправляет запросы.

Я могу сделать это на основе OAuth, но мое приложение не является сторонним, и я хочу, чтобы пользователь заходил на веб-страницу и т. Д., И я хочу, чтобы они входили в приложение и могли отправлять запросы как аутентифицированный пользователь.

Что такое аутентификация с 2-мя и 3-мя ногами

Answer 1

Если ваш API доступен через SSL, вы можете просто перейти на Базовую аутентификацию HTTP .

Но преимущество OAuth в вашем сценарии заключается в том, что он работает достаточно надежно, даже без безопасного транспорта.Уровень, такой как SSL, спецификация такова, что он предотвращает злонамеренное «повторение» запроса, что, как было сказано, без SSL можно подслушивать отдельные запросы.

Вы можете реализовать xAuth Это OAuth, но с гораздо более простой аутентификацией пользователя.Каждый запрос API все равно должен быть подписан, но вы можете получить токен доступа, отправив имя пользователя и пароль.Это выглядит многообещающей альтернативой для вас.

Двусторонняя аутентификация в основном предназначена для авторизации между приложениями.В основном два приложения обмениваются сервисами API без участия конкретного конечного пользователя.Двусторонняя авторизация обходит этап авторизации и, по сути, сразу же предоставляет токен доступа.

3-legged включает в себя пользователя, который разрешает стороннему приложению (потребителю) доступ к его ресурсам у поставщика услуг.В этой схеме используется временный токен (токен запроса), который должен проверить конечный пользователь, тем самым предоставляя токен доступа.

---