哪種授權類型用於客戶端 - 服務器認證？

Question

我有一個web服務和幾個客戶端應用程序（android和ios應用程序和一個web應用程序），使用該web服務中的信息。

我想使用oAuth2.0驗證webservice中的客戶端，但我不知道這種情況下推薦使用哪種授權類型。

根據RFC6749（http://tools.ietf.org/html/rfc6749#section-1.3）有四種類型

1. 授權碼（似乎是更壞，因爲它有兩個階段）
2. 隱
3. 資源所有者密碼憑據
4. 客戶端憑證

在這種情況下推薦使用哪種類型？

Answer 1

• 如果您的客戶端應用程序在瀏覽器中使用腳本語言（JS，AngularJS ...）實現的，我推薦你使用Implicit Grant type。
• 如果您的客戶端能夠支持重定向（PHP網站爲例），我建議你使用Authorization Code Grant type：the client directs the resource owner to an authorization server, which in turn directs the resource owner back to the client with the authorization code
• 如果您的應用程序不支持重定向，您可以使用資源所有者密碼憑據。但它需要直接訪問用戶的憑證。許多資源服務器不允許該授權類型來保護這些憑證。

請注意，客戶端憑證授予類型在客戶端是資源所有者時使用。