使用网站，移动应用程序和Web服务进行身份验证

Question

我正在创建一个将包含网站，移动应用程序和Web服务的服务。

网站和移动应用程序都将与Web服务对话以与数据库和任何其他后端项目进行交互。

我希望用户能够使用其他服务（例如Google，Facebook，Twitter等）登录。

在实现这一点时，我有两个问题：

1.）我应该使用OpenID还是OAuth？ 我不确定哪种情况更好。 我不需要从用户帐户实际访问功能，我只希望他们能够使用他们已经拥有的帐户登录，

2.）我应该在哪里实施身份验证？ 我是否必须在网站和移动应用程序上都实施它，还是可以同时与Web服务对话并在那里进行身份验证？

谢谢

Answer 1

如果您只是在进行身份验证而不同步任何帐户详细信息，我认为OpenID是可行的方法。 从安全的角度来看，我想说的是在网站和应用程序上而不是在Web服务中实施您的身份验证。 您希望以最少的数量处理凭据，尤其是如果不使用SSL，则避免通过Web服务发送凭据。