我正在使用 Play 2.0 和 Scala 开发一个应用程序，它公开了一些 REST API。这些 API 将由不同的应用程序，包括 Web、移动和桌面应用程序使用，因此 OAuth 协议（OAuth2）似乎最合适。
另外，我最初会使用 Facebook 等外部 OAuth 提供者。
我的问题是：授权每个 REST 调用的确切流程是什么？对于每个调用，服务器端应该期望什么，并且我应该与外部提供者检查什么？
在 OAuth1 中，我知道客户端会随所有签名请求发送令牌，但我认为 OAuth2 不是这样，如果令牌没有被签名，则不被信任，因此我不认为这是正确的流程。
https://github.com/jaliss/securesocial/
这个模块非常精细，Play社区中许多人似乎都知道/使用它。OAuth是一种授权协议，如果您正在寻找身份验证解决方案，可能不适用于此。
您的问题表明API的消费者将是各种应用程序。这导致了两种情况，
1. Where there is no end user involved (grant_type: client_credential)
2. Where end-user can consume these APIs on multiple Application (Owned by your Org) (grant_type: implicit/password)
3. Where end-user can consume these APIs via third Party Applications.(authrization_code)
3-Legged OAuth
GET /authorize authorize{entry point/ initiate oauth}
Sample Call: http://YourAPIService.com/authorize?response_type=code&client_id=GG1IbStzH45ajx9cEeILqjFt&scope=READ&redirect_uri=www.google.com
GET /login login (Call Page for login App, 302 redirected from /authorize)
Sample Call: http://YourAPIService.com/v1/oauth20/login?response_type=code&client_id=GG1IbStzH45ajx9cEeILqjFt&scope=READ&redirect_uri=www.google.com
POST /dologin consentPage http://YourAPIService.com/dologin
Submit the credential, On success, render the application page
POST /grantpermission consentSubmission http://YourAPIService.com/grantpermission
Permission has been granted/declined. Send a 302 to generate authorization_code
GET /code AuthorizationCode {To generate auth code}
Sample Call: http://YourAPIService.com/code?client_id=GG1IbStzH45ajx9cEeILqjFt&response_type=code&user_id=user@YourAPIService.com&redirect_uri=www.google.com
POST /token GenerateAccessToken http://YourAPIService.com/token
Sample call: http://kohls-test.mars.apigee.net/v1/oauth20/token
Header: Authorization: Basic R0cxSWJTdHpINDVhang5Y0VlSUxxalFj its generated with apps Api Key & Secret.
Payload:
grant_type=authorization_code&scope=x&redirect_uri=www.google.com&code=abc123
你可以尝试使用这个模板来结合OAuth 2提供者和Deadbolt进行游戏。 OAuth范围映射到Deadbolt的权限和角色概念。 它使用Redis存储访问令牌，并在您配置的时间段后自动过期。
我曾经遇到过同样的问题，我的解决方法（虽然不是最好的）是将REST服务器的方法放在"@Security.Authenticated(Secure.class)"中，并使用一个会话cookie（也在后端的哈希表中注册）。该会话cookie是用户登录后生成的。
I post code:
package controllers;
import ...;
@Security.Authenticated(Secured.class)
public class ExampleController extends Controller {
public static String currentUserEmail() {
... return json after checking that 'session("id")' exists in the loggedin users hash table...
}
并且
package controllers;
import ...;
public class Secure extends Security.Authenticator {
@Override
public String getUserId(Http.Context context) {
return context.session().get("user_id");
}
...
}