使用HTTPS時，OAuth無關緊要嗎？

我正在設計一個總是通過HTTPS進行通信的RESTful API。通過HTTPS運行時，是否有任何理由使用OAuth等計劃？我特別感興趣的是，在整個通信加密時，HMAC簽名的請求，隨機數和時間戳等方面是否有用。使用HTTPS時，OAuth無關緊要嗎？

看起來好像通過HTTPS的任何身份驗證方案就足夠了，但我只想得到第二個意見。

來源

2011-03-24 John Cromartie

當第三方應用想代表您的用戶使用API時，OAuth可以使您的API請求用戶權限。另一個好處是如果你想保護你的API被某些第三方應用程序（消費者）使用，並將不同的權限和級別訪問權限分配給不同的用戶。如果用戶權限不是必需的，並且API使用將僅受基本認證的限制，並且不需要API級別訪問，那麼使用基本認證的HTTPS就足夠了。 – middlehut 2011-03-24 18:39:34

我有這種確切的情況'如果用戶權限不是必需的，並且API使用將僅受基本身份驗證的限制，並且不需要API級別的訪問權限'和WS over HTTPS，但我不需要讓客戶端存儲用戶名/密碼一旦登錄後續通話！ – 2012-01-20 07:28:57

那麼，這就是OAuth 2背後的全部理論。與OAuth 1的複雜簽名機制不同，您只需依賴傳輸層安全性並專注於拼圖的授權部分。 HTTPS協議沒有解決授權問題，所以你仍然需要OAuth 2。

來源

2011-03-25 05:48:06

我第二個答案。通過SSL時，oAuth 2已經夠用了。 OAuth 2.0看到越來越多的採用，並希望儘快成爲一個完整的規範。 – 2011-06-17 15:05:59

OAuth 2現在是RFC 6749。 – 2014-04-22 15:28:17

使用HTTPS時，OAuth無關緊要嗎？

回答

相關問題