API的外部oAuth服务器

Question

我有一个oAuth 2服务器实现的API来验证客户端。目前，oAuth服务器的API &位于一台服务器上。我想知道是否可以将oAuth服务器移到其他位置并将其用作外部服务，但我不确定这是否是一个愚蠢的想法。

我的计划是：

客户 - >请求（有OAuth认证） - >API.example.com - >请求（有OAuth认证） - >的OAuth。 example.com

成功的OAuth

oAuth.example.com - >返回成功 - >API.example.com（做了一些工作） - >返回结果 - >客户

我想这样做是为了基于OAuth的认证和API分离因为过去我有一些技术上的困难，更新API可能会破坏oAuth（如果底层技术发生变化）。

这个想法是否存在风险？是否有任何资源可以让我更好地了解潜在的风险或问题？

Answer 1

所以我通过Twitter问Phil Sturgeon，他回答说，将oAuth服务器分离到不同的服务器或至少是不同的代码库是一种很好的做法，他当然也使用它。他还在他的书“你不会讨厌的构建API”中写道。

由于他一直在处理许多API & API驱动的项目我会认为这是一个合法的来源和一个很好的答案。