Okta身份验证和OAuth来保护API

Question

我正在为我的员工创建一个Android应用程序，该应用程序将要求销售人员使用Okta身份验证登录（我打算使用他们的身份验证api）。 我的问题是如何保护我的代码将从android应用程序调用的WEB API。 我应该使用Okta的OAuth实现来做到这一点吗？

我当时想的是，如果我使用Okta的身份验证（让他们登录），我还可以调用OAuth API来检索令牌，然后再访问令牌。 然后，我可以通过检查从Okta收到的访问令牌来锁定API。

您认为这是使用Okta做到这一点的最佳方法吗？

谢谢！

Answer 1

2016年8月18日更新：我们现在在https://github.com/raphaellondner-okta/okta-oauth-xamarin-android-customtabs提供了Xamarin代码示例

从2016年8月18日开始，您将需要稍微修改版本的IdentityModel.OidcClient（ https://github.com/raphaellondner-okta/IdentityModel.OidcClient/tree/rl-pkce-secretless ）以使其与Okta一起使用和PKCE。 希望这些提议的更改将很快进入master分支。

原始答案：我建议您看一下我们的OAuth Android示例， 网址为https://github.com/oktadeveloper/okta-openidconnect-appauth-sample-android （我们利用AppAuth既可以使用Okta进行身份验证，也可以使用OAuth和我们的OAuth功能）。

我们还没有Xamarin示例，但是一般的想法是使用嵌入式浏览器来利用OAuth授权代码流来调用Okta / authorize端点，在浏览器响应URL中获取从Okta返回的代码（作为片段）并将其传递给您的移动应用，以交换访问令牌的代码。

我们的OAuth功能仍处于测试阶段，因此，如果需要访问它们，请通过okta dot com与开发人员联系。