一台服务器的OAuth 2.0

Question

我已经看到OAuth 2.0协议要求具有API的“ Web App Server”以及对用户进行身份验证的“ OAuth 2”服务器。尽管可以在单个服务器上完成此操作，还是有特定原因必须在两个单独的服务器上完成？

身份验证是否可以是单个Web服务器上的登录API调用，该API本身会返回访问令牌，或者这将是错误的身份验证方式吗？

Answer 1

当然，“ Web App Server”（或OAuth 2.0术语中的资源服务器）和“ OAuth 2”服务器（或OAuth 2.0术语中的“授权服务器”）当然可以位于同一服务器上。该概念旨在将用户（资源所有者）的身份验证和调用者（客户端）的授权与应用程序本身分离到一个单独的服务（授权服务器）中，但是假设该单独的服务是否位于同一个盒子上则无关紧要您可以同时控制两者。

身份验证可以是返回访问令牌的登录API调用。例如所谓的“资源所有者密码凭证”授予（https://tools.ietf.org/html/rfc6749#section-4.3）和“客户端凭证”授予（https://tools.ietf.org/html/ rfc6749＃section-4.4）。