API服务网站和移动应用程序的身份验证选项

作为一个更广泛的学习过程的一部分，我希望建立一个网站和移动应用程序，使用一个用于数据存储和检索的通用api（将其视为一个简单的cms）。移动应用程序将具有离线存储（例如离线时的文章草稿）和访问媒体/摄像头等附加功能。将有一个面向公众的主页，每个成员都有一个安全区域，可以创建/修改自己的内容

我已经读了很多书，但想了解一些关于如何处理身份验证的建议体系结构的反馈（我对构建应用程序、网站和api本身很满意）。也就是说，在将来的某个时候，我可能希望向第三方开放api。有很多选择，但我似乎找不到任何合适的图表来表示流程。这个场景的优点和缺点以及下面选项的图表链接都非常好

我宁愿不要求用户每次访问应用程序（或网站）都要登录，我也担心手机应用程序上有私钥

这一定是当今非常普遍的情况，我只是想知道人们对每一种情况都有什么经验

OAuth 1a OAuth 2 HMAC 带SSL的Basic 阿帕奇西罗酒店 托管服务，如StormPath 还有其他选择吗

---

最终用户可以使用他们的社交帐户（Twitter、Facebook等）登录，也可以使用网站/应用程序创建帐户，这将是一件好事。

您找到解决方案了吗？