用于多个API的OAuth流程

Question

我目前正在开展一个包含以下内容的项目：

• 一个根据Active Directory对用户进行身份验证的中央身份服务器
• 不同用户具有不同访问级别的几种不同的API
• 用户登录以访问API的几个JS Web应用程序

Web应用程序和身份服务器之间应使用哪种身份验证流程，以便API获取有关用户的信息并对其中的用户进行授权？我有点卡在这里。

Answer 1

您通常使用OAuth 2.0隐式授权来获取JS Web应用程序的访问令牌，然后可以在调用API时使用该令牌。 API可以利用访问令牌来查找授予API访问权限的资源所有者。