哪个OAuth2授予​​使用Javascript的B2B客户端类型？

Question

我们有一个客户想要从他们的系统调用我们的Web服务。 我们不验证客户端系统用户，但只验证客户端公司。 （是 - OAuth2用于授权，但我们将使用Open ID Connect） 客户端希望使用Javascript（JQuery）访问我们的服务。

我对赠款类型的分析（下面）并没有给我一个明确的答案。隐含 - 这也需要委托客户端登录，但是对于基于浏览器的调用，建议使用这种模型。 密码 - 通过用户名和密码登录。可能的人选。最不安全。 客户端凭证 - 这似乎是应用程序客户端推荐的一种，但通过jQuery发送客户端密码似乎并不安全。

这似乎是B2B网络服务中的常见情况，但规范并未给出明确的答案。

在这种情况下使用哪种合适的授权类型？ 谢谢

Answer 1

我想你应该建议你的合作伙伴创建一个Web服务，坐在JQuery和外部世界之间。

然后，该Web服务将保留客户端密钥并通过客户端证书的OAuth流与您的API进行身份验证。