对于使用OAuth的现有网站感到困惑，但是现在我们向该网站添加了API

Question

我正在为我们的产品编写API，并且试图了解一些基本的OAuth如何与可能利用我们（待创建）API的移动应用有关。

假设我们的网站当前允许某人通过Twitter OAuth登录到我们的网站。 在来自Twitter的回调中，我们的服务器检索Twitter OAuth结果，如果一切正常，则检查该用户是否已存在于我们的数据库中（例如，假设电子邮件是唯一密钥）。 如果不存在，我们将创建一个新用户。

当然，然后我们将用户“ in”登录，这意味着我们为他们的浏览器创建一个cookie。

到目前为止-这里没有新内容。 所有正常的东西。

现在..如果我们要使用其本国语言通过iPhone或Windows Phone通过应用程序使用我们的API来执行此操作，我不确定OAuth结束并由我们的API接管吗？

例如，假设它是一个利用我们的API的iPhone应用程序。 iPhone应用程序将尝试根据其Twitter凭据对用户进行身份验证。 好的。 但是当它回叫时，它又回到了手机中，对吗？ 不是我们的服务器。 那么，应用程序需要尝试创建新用户吗？ 因此，iPhone可能会尝试调用/api/CreateAccount 。 但这意味着-任何人都可以调用此api？ 网站如何真正知道他们已通过身份验证？ 仅因为该应用程序是这样说的？ 是什么阻止该人创建恶意应用并通过创建新帐户来泛滥我们的API来调用我们的API？ 对api资源进行身份验证又如何呢？ 表单身份验证在这里不可用。 那么人们是否将基于SSL的查询字符串身份验证用于api调用？ iPhone如何通过我们的服务器进行身份验证？

我很混乱。

任何人都可以解释当人们拥有网站和api并将OAuth用作身份验证机制时，人们如今所做的区别和常见做法吗？

Answer 1

天真的应用程序不会调用CreateAccount ，而会调用带有Twitter的oauth数据集的VerifyAccount ，以便您站点和API可以对其进行验证。 该网站将使用唯一的用户ID进行响应，而您的iOS应用将使用该ID作为内部用户ID。 更多信息 。