使用“真实”客户端和服务器客户端对Web服务进行身份验证

Question

我们有一个应用程序，它们被部署为我们客户的实例。然后，这些实例使用REST API与我们的计费和管理Web服务进行通信。

这是一个图表：

Billing and management service永远不会公开，只有在我们为Customer Instance构建代码时才能使用。由于这是服务器到服务器的界面，我觉得2 legged OAuth是最好的选择。

Customer instance还包含一个API（也是RESTful）。第三方开发者可以为它构建应用程序，因此我们将使用3 legged OAuth并遵循Facebook的模型。

但是，我们还希望能够允许Billing/Management访问该API（也在客户实例上）。

• 我们应该如何验证这个区域？我们应该使用2腿OAuth吗？
• 在同一个API端点上同时运行2脚OAuth和3脚OAuth会导致安全隐患吗？

我们计划使用OAuth 2.0，所有部分，服务都是用PHP编写的。