django oauth2 移动应用程序的其余身份验证流程

Question

我正在尝试找出从我的移动应用程序到我的 api 交互的最佳流程。

我正在使用这些包：

https://github.com/evonove/django-oauth-toolkit
http://www.django-rest-framework.org

我想要这个流程：

1. 用户使用用户名和密码在我的移动应用上编译注册视图
2. 用户提交注册
3. 我的应用程序向我的后端发出请求以获取 应用程序的令牌
4. 带有令牌的应用程序调用用户注册api
5. 我的后端注册用户，登录并返回用户令牌以供将来调用。

我的流程正确吗？
如果我使用基于密码的资源所有者并且我提出这样的请求：

 curl -X POST -d "grant_type=password&username=username&password=password" -u "client_id:client_secret" http://127.0.0.1:8000/api/v2/oauth/token/

我明白了：

 {"access_token": "09Vf0HD5nCPSEvLAnjxrghZPHfvE4c", "token_type": "Bearer", "expires_in": 36000, "refresh_token":"yDmovryDlGhkLVV6T2rTgFQxnNtguq", "scope": "read write groups"}

但如果我想通过以下方式为我的应用获取访问令牌：

 curl -X POST -d "grant_type=client_credentials" -u "client_id:client_secret" http://127.0.0.1:8000/api/v2/oauth/token/

我明白了：

 {"error": "unauthorized_client"}

所以我的疑问是：
我应该如何设置我的应用程序？
我的 oAuth2 应用程序应该具有哪种授权授权类型？

Answer 1

resource owner password credential 代表用户（资源所有者）对您的应用程序进行身份验证，从而授予对与该用户相关的数据的访问权限。

client_credential 当你想验证你的应用程序而不是用户时需要授权类型。颁发的访问令牌不会绑定到用户，而是绑定到应用程序，并且此令牌通常只允许访问与应用程序相关的数据。

如果您想在 DOT 中启用此授权，您应该在应用程序创建表单中选择“客户端凭据”。

您描述的流程看起来不错，但请记住，您需要两个应用程序：一个用于客户端凭据授权，一个用于密码授权。

在服务器端，注册端点应该有一个权限检查，只允许来自 client_credential access_tokens 的请求。 注册成功后（比如 201），您可以在删除之前使用用户名和密码获取“用户令牌”。

只有一个问题，我不明白您为什么需要 python 社交身份验证。您描述的流程中没有提及它。