我目前正在开发一个网络应用程序,它由一个前端组成,使用我们编写的REST API来显示和交互数据。唯一使用API的是我们的前端网站,以及我们将开发的移动应用程序。
我已经阅读了很多有关OAuth是保护API的理想机制的文章,现在我开始对它的工作原理有了很好的理解。
我的问题是,既然我永远不会将API授权给第三方客户端,OAuth真的必要吗?是否有任何优势?此外,由于后端只是API,没有用户可以从中进行身份验证的网关(就像如果您使用Twitter API编写应用程序时,当用户验证时,他们将被定向到Twitter页面以授予访问权限,然后重定向回客户端)。
我不太确定该走哪个方向。看起来必须有某种方法介于http身份验证和OAuth之间,适用于这种情况,但我还是不明白。