授予API访问Rails应用程序的最佳身份验证方法

Question

我想为我的Web应用程序提供经过身份验证的API访问权限。这种服务的消费者通常是其他网站/服务。

认证这些用户的最佳方法是什么？ OAuth，openID，http认证？

Answer 1

正如我们的老本行，回答了这么多是“它取决于”。 :)

• HTTP认证 - 如果你已经让客户通过一个ID和密码登录到您的服务，你可能只需要做最少的工作得到这与发挥很好的API。如果你的API基本上是单用途的，并且不需要详细的权限，那么你可以在这里相当快地工作。

• API令牌 - 即构建与您的API进行交互的服务。如果您希望客户能够轻松地验证不需要提供密码（认为公司;也许是IT部门不希望开发团队知道密码等），然后将一个随机的API令牌添加到用户帐户可能是最快捷的方法。作为奖励，您可以提供一种重新生成API令牌的方法，而无需更改帐户密码。

• 的OAuth - 如果你有多个许可，或者是想要客户端如何以及何时访问API更细粒度的控制，OAuth是一个相当不错的选择（OAuth2用户是很容易的工作与国际海事组织和支持multiple methods of obtaining an access token）。此外，许多语言都有图书馆，宝石等，可以让他们简化OAuth工作流程。

Answer 2

我会说“最好”的方法是oAuth。它更加灵活，可以独立应用于其他用途。 我正在使用oAuth来验证我的客户端（应用程序）。

;“？这是最好的”）