从单独的设备验证用户是否能够从API提取数据

Question

在以下情况下，我无法确定/了解哪种身份验证方法最佳：

我有3个独立的“客户”。网站，移动应用和浏览器扩展程序。

用户信息和数据存储在数据库中。

3个客户端将通过API访问数据。

我想要了解的是系统用户如何通过三个客户端之一登录并使用API​​进行身份验证，以便他们可以继续获取并将数据发布到API。

我不需要第三方应用程序来访问API。用户只能通过登录我提供的客户端来访问它。出于这个原因，我认为OAuth1 / 2会过度杀人吗？

我附上了一张图片，详细说明了我对系统的设想。

另一个问题：

系统在哪里进行身份验证？我会在API中进行身份验证吗？因此，用户使用三个客户端之一上的表单来发送密码。然后，如果API提供有效凭据，则返回“what”？