使用OAuth 2验证ASP.NET Web API - 要使用的最佳授权授权类型？

Question

我正在尝试构建以下内容:

注意:我不需要与其他提供商共享我的数据,但可能希望将Android和iOS应用程序连接到同一个Web服务.

我使用最新的ASP.NET Web API项目模板创建了一个项目,并选择了"个人授权",以便我可以访问ASP.NET身份系统以进行登录等.

查看此处的示例,我看到它包括使用OAuth 2"资源所有者密码凭据"授权授权请求访问令牌的功能,例如:

grant_type=password&username=user&password=password123

是否足以使用"资源所有者密码凭证"类型授权授权,只需从我的Android应用程序中的某些文本框中发送用户名和密码,或者我是否应该使用嵌入式浏览器获取"授权代码"然后发送内容更像这样:

client_id=myapp&grant_type=authorization_code&code={code}

每种方法有哪些优点,如果后一种方法更好,我在哪里开始在服务器端实现"授权端点"页面？

谢谢!

Answer 1

如果您拥有所有服务并且不打算向第三方服务提供对这些服务的访问权限，则可以授予“资源所有者密码凭据”。

当您向第三方提供访问权限时，需要授予“授权码”。浏览器页面确保客户端应用程序不会直接访问用户凭据（您不希望某些未知应用程序读取您的用户密码:)）。此外，这笔赠款还可以根据您的地理位置等提供一些不错的东西，例如 2FA。

如果您想让您的案例保持简单 - 使用资源所有权。但如果可能的话 - 尝试代码授予。