使用HTTPS时，OAuth无关紧要吗？

我正在设计一个总是通过HTTPS进行通信的RESTful API。通过HTTPS运行时，是否有任何理由使用OAuth等计划？我特别感兴趣的是，在整个通信加密时，HMAC签名的请求，随机数和时间戳等方面是否有用。使用HTTPS时，OAuth无关紧要吗？

看起来好像通过HTTPS的任何身份验证方案就足够了，但我只想得到第二个意见。

来源

2011-03-24 John Cromartie

当第三方应用想代表您的用户使用API时，OAuth可以使您的API请求用户权限。另一个好处是如果你想保护你的API被某些第三方应用程序（消费者）使用，并将不同的权限和级别访问权限分配给不同的用户。如果用户权限不是必需的，并且API使用将仅受基本认证的限制，并且不需要API级别访问，那么使用基本认证的HTTPS就足够了。 – middlehut 2011-03-24 18:39:34

我有这种确切的情况'如果用户权限不是必需的，并且API使用将仅受基本身份验证的限制，并且不需要API级别的访问权限'和WS over HTTPS，但我不需要让客户端存储用户名/密码一旦登录后续通话！ – 2012-01-20 07:28:57

那么，这就是OAuth 2背后的全部理论。与OAuth 1的复杂签名机制不同，您只需依赖传输层安全性并专注于拼图的授权部分。 HTTPS协议没有解决授权问题，所以你仍然需要OAuth 2。

来源

2011-03-25 05:48:06

我第二个答案。通过SSL时，oAuth 2已经够用了。 OAuth 2.0看到越来越多的采用，并希望尽快成为一个完整的规范。 – 2011-06-17 15:05:59

OAuth 2现在是RFC 6749。 – 2014-04-22 15:28:17

使用HTTPS时，OAuth无关紧要吗？

回答

相关问题