Branża internetowa zmienia / przesuwa się w kierunku korzystania z protokołu OAuth przy rozszerzaniu usług API na zewnętrznych konsumentów i programistów. W prostocie jest trochę elegancji ... i cóż, 3-etapowy proces OAuth nie jest taki zły ... po prostu uważam, że jest to najlepsza ze złych opcji.
Czy istnieją alternatywy, które mogłyby być lepsze i bezpieczniejsze?
Referencje dotyczące bezpieczeństwa pochodzą z następujących adresów URL:
Natknąłem się na to podczas wymiany stosu zabezpieczeń IT i pomyślałem, że to wzruszające z punktu widzenia bezpieczeństwa:
Może SAML 2.0 jest alternatywą?
Co z OpenID ?
Celem tego pytania jest z punktu widzenia programowania.
Czy OAuth jest najlepszą dostępną obecnie opcją ...?
Czy istnieją alternatywne opcje, które pozwalają mi rozszerzyć moją aplikację sieciową na konsumentów, którzy są lepsi z punktu widzenia bezpieczeństwa, punktu widzenia wdrożenia, długowieczności (nie będą wymagali przeróbki za kilka miesięcy), i umożliwią obsługę aplikacji mobilnych zużywających moją sieć podanie.
źródło
Odpowiedzi:
Po pierwsze, OAuth nie zastępuje logowania . To zadanie rozwiązane przez OpenID i podobne.
OAuth to tymczasowy protokół autoryzacji transferu danych. W przypadku zadania, w którym chcesz zaimportować dane ze strony A na stronę B, użyj OAuth. Ale nadal logowałbyś się na stronie A za pomocą OpenID. Jednak Google niedawno ogłosił protokół, który łączy oba te elementy, więc wydaje mi się, że różnica między nimi jest bardziej mętna niż wcześniej.
Alternatywą dla OAuth byłby Facebook Connect . Nie jestem pewien, czy znam jakieś alternatywy (być może niektóre systemy bezpieczeństwa RPC mogą być odpowiednie dla Internetu)
źródło