小编Ric*_*ard的帖子

我正在为一组RESTful Web应用程序的用户开发内部身份验证系统.我们的目的是用户应该能够通过Web表单登录一次,并且可以访问我们域中的所有这些RESTful应用程序,这些应用程序可以跨多个服务器分布在私有云中.(我已经理解,单个经过身份验证的会话与纯RESTful方法不一致,但这是一个可用性要求.)

应用程序本身将使用各种编程语言编写,因此需要采用与语言无关的方法.有人向我建议我们可以使用OpenID或OAuth或类似的框架来处理身份验证,但我的理解是这些服务用于第三方服务,而不是用于在内部系统上共享数据的第一方服务.在这种情况下,我们可能有一个中央提供商服务,所有其他应用程序被视为第三方(或依赖方).

问题:

1. OpenID/OAuth是否适合在第一方服务中进行身份验证？
2. 如果是这样,如何建议为此用例设置身份验证？
3. 用户是否必须向他们想要使用的每个第一方服务器授予个人权限,就像他们需要向任何第三方服务器授予个人权限一样？我认为这违反了访问所有第一方服务的单点登录的要求.
4. 是否有支持此第一方用例的网站的良好示例？
5. 这个第一方用例的替代框架是什么？