authentication - 使用 OAuth2 进行身份验证而不是授权是一个坏主意吗？

Question

我从网络上的很多资源中了解到 OAuth2 是为授权而设计的，并且使用它来进行身份验证是一个糟糕的模式/想法。但没有人真正解释为什么会这样。它是不安全的，难以实施还是什么？

Answer 1

OAuth2 用于应用程序级别的授权，而不是用于用户级别的身份验证。

想象一下，您构建了一个 api 和一个前端，并且您只希望该前端能够访问该 api，而所有其他请求都被拒绝。这是 OAuth2 使用的有效场景。