在移動應用程序上注冊帳戶

Question

我正在為Android / iOS開發混合移動應用程序，該應用程序主要使用訪問令牌進行身份驗證/授權將請求發送到寧靜的服務器。

但是，不確定如何實現帳戶創建部分，是否可以允許帶有電子郵件地址/密碼的POST請求注冊用戶？ 類似於POST /signup （當然使用https，電子郵件驗證等）。

還是有更好的選擇？

Answer 1

本質上，這就是大多數移動應用程序上經典注冊的工作方式。 將電子郵件/密碼發布到注冊URL，並在響應中接收訪問令牌。

如果您想花哨的話，可以合並一個秘密的應用程序令牌，以便可以對請求進行簽名，並且服務器可以從理論上保證該請求來自您自己的應用程序，而不是其他應用程序。 問題是，客戶端中的“秘密”並不是真正的秘密，任何人都可以訪問編譯后的代碼並發出請求。 （例如，Twitter 遇到此問題 。）

還可以通過Twitter，Google，Facebook等進行單點登錄。在這種情況下，您只需在用戶在設備上進行身份驗證后就可以上傳訪問令牌。 某些應用程序還要求提供電話號碼而不是電子郵件，然后通過SMS驗證（如果應用程序可以讀取SMS，則自動驗證），例如WhatsApp。