使用OAuth保护Web API所需的步骤是什么？

这是限制基于HTTP的API到已知客户端的最佳选择吗？使用OAuth保护Web API所需的步骤是什么？

我主要知道只有某些可信的应用程序（例如本地移动应用程序）才能访问该API。

我认为这个问题可以受益于一些阐述。 “客户”是什么？软件客户端？终端用户？如果是软件 - 你的意思是安装实例，还是只是整个“可信软件包”？ – 2012-03-18 13:40:24

@Scott - 很好的建议。我专门研究移动应用程序，但我认为“可信软件包”总结得很好（或者也许是注册软件开发商的软件）。 – 2012-03-19 03:37:04

这不是OAuth 2.0旨在解决的问题。特别是移动应用程序难以识别为“已知客户”，因为他们无法保守秘密 - 他们的应用程序代码被下载，并且可能被想要编写他们自己的客户端的动机黑客反编译，这些客户端使用相同的协议。

这个问题是有点重复，因为这一个：OAuth2 security considerations for client_id

2012-03-20 02:00:48

嘿@斯科特，谢谢你的信息。我同意这不是一个万无一失的计划。我认为这不是重复，因为我正在寻找如果他们想要使用OAuth保护他们的应用程序将采取的步骤。 – 2012-03-20 17:21:48

回答