Этот вопрос уже задан 20 раз, и я много читаю об этом ... но мне нужно подтверждение о чем-то. Я просто хочу знать, хорошо ли я понял.OAuth & OpenID - Требуется подтверждение
Первая часть посвящена определениям:
Идентификация: Для того, чтобы идентифицировать клиента, знать, кто это точно.
Авторизация: Разрешить доступ к некоторым ресурсам. Нет личности здесь.
Аутентификация: Объединить идентификацию и авторизацию.
Мой первый вопрос: Рассуждение хорошее или нет?
Тогда моя вторая часть о OAuth & OpenId:
В начале, для базовой реализации, OpenId только для идентификации части и OAuth для авторизации части.
Но теперь, после обновления, оба имеют тенденцию к части аутентификации.
Например, OAuth в принципе может позволить одному приложению получить доступ к другому без пароля или критической информации пользователя через сеть. Он просто делает это один раз и генерирует токен, который может быть отменен или обновлен и должен быть предоставлен для каждого запроса.
Теперь, с базовой реализации OAuth, если S1 позволяют S2, чтобы получить пользователей информацию, я могу получить доступ к этим URL: path_to_s1/API/пользователей/Foo - path_to_s1/API/пользователей/бар и я получат информацию (адрес электронной почты - контакты ... например) пользователя foo, когда я буду на первом URL-адресе и панели пользователя, когда я буду на втором URL-адресе. У меня только есть авторизация, а не идентификация. Для идентификации я могу, например, реализовать API-ключ или OpenId Connect в верхней части OAuth.
Мой второй вопрос: Рассуждение хорошее или нет?
Спасибо заранее :)