Betrachten Sie das folgende (allgemeine) Szenario. Ich werde zuerst versuchen zu spezifizieren, wie ich verstehe, wie eine (nette) Web-API mit OAuth aussehen sollte. Bitte korrigieren Sie mich, wenn einer der Flüsse falsch ist.

Meine API : Im Mittelpunkt der Aufmerksamkeit stehen alle Kunden.

Meine Webanwendung : Verwendet die API wie jeder andere Client auch.

Meine mobile App : Verwendet auch die API, genau so wie die Web-App. Benutzer sollten sich authentifizieren können, ohne einen Browser zu öffnen.

3rd Party Web App : Verwendet auch die API - der Benutzer / Ressourcenbesitzer muss jedoch der App die Berechtigung erteilen, etwas zu tun. Sie tun dies, indem sie auf meine Website umleiten (oder ein Popup öffnen), den Benutzer bei Bedarf anmelden und den Benutzer zur Eingabe auffordern.

Mobile App von Drittanbietern : Gleiche Anforderungen wie die Web-App von Drittanbietern.

Die Frage (n)

• Soll die API Authentifizierung und Autorisierung übernehmen?
• Wie weiß die API, wer (der Ressourcenbesitzer, der die Clientanwendung verwendet) die API verwendet?
• Wenn ein Benutzer meine offiziellen Clients verwendet, sollten diese natürlich keine Berechtigungen gewähren müssen - meine Clients sollten alle Berechtigungen haben. Wie würde ich beim Aufruf der API zwischen meinen offiziellen und Drittkunden unterscheiden?

Hier ist was ich verstehe, und würde so weit machen. Hier brauche ich wirklich Hilfe - dies richtig machen zu können.

Offizielle Web-App

• Da die Web-App nur ein Verbraucher meiner API ist, wie würde ich den angemeldeten Zustand verwalten? Sollte die Web-App das tun?
• Soll die Webanwendung direkten Zugriff auf die Benutzerdatenbank haben, anstatt die Anmeldeinformationen anhand der API zu überprüfen?

Ich benutze hauptsächlich .NET (C #), aber ich würde einen Ansatz lieben, der auch für, sagen wir, Node JS-basierte APIs anwendbar ist.

Wie würdest du das machen? Besonders die Kundenströme sind ein Problem für mich. Der Grund, warum ich frage, ist, dass ich gelesen habe, dass Sie Ihre eigene Sicherheitslösung nicht rollen sollten, es sei denn, dies ist absolut notwendig. Wenn es dafür irgendwelche Standard-Richtlinien gibt, lassen Sie es mich wissen. :)