對於使用OAuth的現有網站感到困惑，但是現在我們向該網站添加了API

Question

我正在為我們的產品編寫API，並且試圖了解一些基本的OAuth如何與可能利用我們（待創建）API的移動應用有關。

假設我們的網站當前允許某人通過Twitter OAuth登錄到我們的網站。 在來自Twitter的回調中，我們的服務器檢索Twitter OAuth結果，如果一切正常，則檢查該用戶是否已存在於我們的數據庫中（例如，假設電子郵件是唯一密鑰）。 如果不存在，我們將創建一個新用戶。

當然，然后我們將用戶“ in”登錄，這意味着我們為他們的瀏覽器創建一個cookie。

到目前為止-這里沒有新內容。 所有正常的東西。

現在..如果我們要使用其本國語言通過iPhone或Windows Phone通過應用程序使用我們的API來執行此操作，我不確定OAuth結束並由我們的API接管嗎？

例如，假設它是一個利用我們的API的iPhone應用程序。 iPhone應用程序將嘗試根據其Twitter憑據對用戶進行身份驗證。 好的。 但是當它回叫時，它又回到了手機中，對嗎？ 不是我們的服務器。 那么，應用程序需要嘗試創建新用戶嗎？ 因此，iPhone可能會嘗試調用/api/CreateAccount 。 但這意味着-任何人都可以調用此api？ 網站如何真正知道他們已通過身份驗證？ 僅因為該應用程序是這樣說的？ 是什么阻止該人創建惡意應用並通過創建新帳戶來泛濫我們的API來調用我們的API？ 對api資源進行身份驗證又如何呢？ 表單身份驗證在這里不可用。 那么人們是否將基於SSL的查詢字符串身份驗證用於api調用？ iPhone如何通過我們的服務器進行身份驗證？

我很混亂。

任何人都可以解釋當人們擁有網站和api並將OAuth用作身份驗證機制時，人們如今所做的區別和常見做法嗎？

Answer 1

天真的應用程序不會調用CreateAccount ，而會調用帶有Twitter的oauth數據集的VerifyAccount ，以便您站點和API可以對其進行驗證。 該網站將使用唯一的用戶ID進行響應，而您的iOS應用將使用該ID作為內部用戶ID。 更多信息 。