如何为移动应用程序实现4脚认证？

Question

我有一个REST Web服务，它已经通过浏览器实现了oauth身份验证机制。

我会将我的API暴露给许多已编程的移动客户端 由第三方。 在这种情况下，涉及4个参与者：

1. 我的网络应用 A
2. 身份验证提供商 P （例如Facebook / Google / Twitter / etc）
3. 移动应用客户端 C （由第三方开发者X制作）
4. 最终用户 U

我用Oauth2阅读了很多关于两条腿和三条腿认证但是 我知道这两者都不是可行的解决方案。

前者因为只涉及 C 和 P 。

后者因为涉及 A ， P 和 U （即 A 和 C 是同一开发者的产品。）

对于客户端身份验证，我实际上处理生成几个密钥的情况 客户的开发人员 C 要求根据我的服务验证他的应用 A 并签署每个请求。 我的问题是：因为我的应用程序自然在developers.facebook.com上注册 我的密钥存储在Web服务器中，第三方开发人员如何使用我的API 并验证最终用户？ 他必须在Facebook上注册他的移动应用 C ，并使用我的网络应用 A 分享他的访问令牌吗？