OAuth, когда вы владеете всеми клиентами, сервером авторизации и защищенными API

Question

Мне интересно, подходит ли мне OAuth.

Мне нужно написать службу REST (или службы REST), к которой могут обращаться несколько клиентов.Все клиенты будут написаны мной.Сервис будет написан мной.А что касается сервера авторизации, он будет использовать только локальные учетные записи, никаких внешних входов в систему вообще не будет.

Учитывая это, я чувствую, что неявный поток и поток предоставления кода авторизации мне не подходят.Я чувствую, что использование перенаправления в этом сценарии было бы глупо, учитывая, что я пишу клиентам, являюсь поставщиком удостоверений и т. Д.

Должен ли я вообще не использовать OAuth?Что я должен использовать вместо этого?Или, если я собираюсь использовать OAuth, придется ли мне использовать ROPC, чтобы избежать перенаправлений?

Если OAuth является ответом, есть ли какие-либо решения, которые я мог бы использовать?Azure AD B2C?Или я должен написать свой собственный, и если так, есть ли у кого-нибудь какие-либо ресурсы о том, как сделать это с помощью .NET Core?

Я должен упомянуть, что мы также будем использовать долгосрочные службы, где текут учетные данные клиентабыло бы хорошо подходит.

Answer 1

Неявные потоки - это только один из способов, которые OAuth2 определяет для клиентского приложения для получения токена, который он впоследствии будет использовать для вызова службы.Он должен использоваться только приложениями, встроенными в браузер (SPA). В блоге, который я написал, перечислены другие типы потоков и когда их использовать

Да, вы должны рассмотреть возможность использования OAuth2, если вам все равно, кто вызывает ваши службы, потому что никто другой не может (выработающий в полностью закрытой сети внутри Форт-Нокса), или вы не можете себе представить, что кто-то захочет позвонить им.(извините за мое чувство юмора).Цель OAuth2 - управлять разрешениями приложений, вызывающих друг друга.Его преимущество перед другими протоколами заключается в том, что он поддерживает наиболее распространенные сценарии (клиенты-демоны, веб-приложения, устройства IOT и т. Д.)