移动设备的OAuth2流程

Question

我们目前正在开发一种将被各种不同设备使用的API.我们想要使用OAuth2规范,因为它定义了原始OAuth规范中没有的几个流程.我的问题是,哪种流程最适合iPhone或iPad等移动设备？TweetDeck这样的应用程序使用什么流程？

看看网络似乎像TweetDeck这样的客户使用"用户名和密码凭据流"(无浏览器令牌交换).任何人都可以提供有关此主题的更多信息吗？

Answer 1

只有在最终用户(移动设备用户)和请求身份验证的客户端(移动设备上的应用程序)之间存在信任时,才应使用您讨论的用户名和密码流.在这种情况下,这种信任存在似乎是合理的.基本上发生的是将凭证发送到auth服务器以换取访问令牌.

预计您不会存储凭据.相反,您应该存储访问令牌和刷新令牌并使用它们.刷新令牌机制在此处的规范中定义,并且在此处讨论使用访问令牌