API 的外部 oAuth 服务器答案

【问题标题】：external oAuth Server for APIAPI 的外部 oAuth 服务器
【发布时间】：2015-06-18 12:56:33
【问题描述】：

我有一个带有 oAuth 2 服务器实现的 API 来验证客户端。目前 API 和 oAuth 服务器位于一台服务器上。我想知道是否可以将 oAuth 服务器移动到其他位置并将其用作外部服务，但我不确定这是否是一个愚蠢的想法。

我的计划是：

客户端 -> 请求（使用 oAuth 凭据） -> API.example.com -> 请求（使用 oAuth 凭据） ) -> oAuth.example.com

oAuth 成功

oAuth.example.com -> 返回成功 -> API.example.com（做一些工作） -> 返回结果 -> 客户端强>

我想这样做以分离 oAuth 和 API，因为我过去遇到了一些技术难题，更新 API 可能会破坏 oAuth（如果底层技术发生变化）。

这个想法有风险吗？是否有任何资源可以让我更好地了解潜在风险或问题？

【问题讨论】：

标签： api oauth

【解决方案1】：

所以我通过 Twitter 询问了 Phil Sturgeon，他回答说，将您的 oAuth 服务器分离到不同的服务器或至少不同的代码库是一种很好的做法，他当然也使用过。他还在他的“构建你不会讨厌的 API”一书中写道。

由于他一直在从事许多 API 和 API 驱动的项目，我认为这是一个合法的来源和一个很好的答案。

【讨论】：