HTTP基本身份验证+访问令牌？

Question

我正在开发一个REST API，我打算使用Web和IOS应用程序。 我打算让这个API私有化一段时间（私人意味着我只希望我的网络应用程序和ios应用程序访问api）。

我已经阅读了许多不同的身份验证方法，但我仍然很困惑为我的API选择适当的身份验证方法。

据我所知，oAuth2允许用户使用其他服务提供商登录您的APP，以便您可以访问相应服务提供商的数据。 我在自己的API中访问数据，所以我认为这不适用于我？

所以，这就是我的想法：

• 1）使用HTTP基本身份验证将用户/传递发送到服务器。

• 2）服务器验证登录后，返回将在x小时后到期的访问令牌。 这将允许我简单地存储令牌而不是用户/传递凭证。

我有谷歌这种技术，并没有真正找到任何关于这种方法的信息，这让我相信这不是一个好方法，因为我可能会尝试重新发明一些东西？

我该怎么办？ 我正在寻找两条腿的oAuth？

Answer 1

OAuth 2.0已成为保护Web API的首选协议。 它要求用户授权应用程序访问您的Web API。

您希望您的应用程序是唯一可以访问某些API的应用程序。 OAuth 2.0允许这样做。

在授权服务器中，使用所需的客户端凭据（非可选）实施授权代码授予 。 使其成为只有您的应用程序（或配置列表操作第一方应用程序）才能获得进行这些API调用所需的范围。 只要您确实对您的客户保密，您的应用程序将是唯一一个能够获得具有所需范围的访问令牌的应用程序。 在Web API中，确保将范围授予用于调用API的访问令牌。

良好的授权服务器（例如Identity Hub ）将允许您执行此操作。

不要使用资源所有者密码凭据授予 。 正如规范所说：

只有在资源所有者和客户端之间存在高度信任时（例如，客户端是设备操作系统或高权限应用程序的一部分），以及其他授权授权类型不可用时，才应使用凭证（例如授权码）。

稍后将重复此操作：

启用此授权类型时，授权服务器应特别小心，并且只有在其他流不可行时才允许它。

如果密码凭据授权可用，则任何应用程序都可以通过询问用户用户ID和密码来获取令牌。 这正是你不想要的。

规范非常清楚使用密码固有的问题：

在传统的客户端 - 服务器身份验证模型中，客户端通过使用资源所有者的凭据向服务器进行身份验证来请求服务器上的访问受限资源（受保护资源）。 为了向第三方应用程序提供对受限资源的访问，资源所有者与第三方共享其凭据。 这会产生一些问题和限制

OAuth 2.0专门用于克服使用密码时遇到的一些问题：

OAuth通过引入授权层并将客户端的角色与资源所有者的角色分开来解决这些问题。 在OAuth中，客户端请求访问由资源所有者控制并由资源服务器托管的资源，并且颁发与资源所有者不同的凭据集。

此外，如果您的API想要了解用户（除了知道客户端应用程序之外），也不可能滥用资源所有者密码凭据授权来验证客户端（即应用程序）而不是资源所有者（即用户），如由Florent Morselli建议。

Answer 2

事实上，OAuth2并非专门用于验证您的用户，而是授权客户端（网站或应用程序）访问资源（用户信息，页面，文件......）。

由于您的网站和应用是私有的（因此您对它们有高度的信任），我建议您使用资源所有者密码凭据授予类型。 用户名/密码仅用于获取访问令牌（如果需要，还需要刷新令牌）。 您提到的客户不必存储这些凭据。

只是一个精度：OAuth2可以用于HTTP基本身份验证来验证客户端 ，而不是资源所有者/用户。