Oauth 2.0 OAuth2承载令牌，与API_密钥一样使用

我们希望对服务器HTTPS通信进行简单的授权（我们控制两台服务器），就像经典的API_密钥：客户机已经硬编码（在配置中）了一个密钥，该密钥在每个请求中使用。服务器检查密钥是否有效

我们的同事将其实现为OAuth2承载令牌（）

授权：承载客户端\u密钥

---

因此，客户端在配置中有

client\u键

，它永远不会刷新。它工作得很好，我们只是在公司里有一个哲学上的争论，如果这种“硬编码”的承载令牌与OAuth2一起使用与否。（免责声明：我不支持争议的任何一方。）

OAuth 2.0协议基本上定义了一个

访问令牌

——这是一个受时间和权限约束的令牌——以及两个协议“腿”：

如何获取和访问令牌

如何使用/呈现访问令牌

您不使用访问令牌（因为您的令牌没有以任何方式绑定），并且您只“按语法”实现了第2部分。事实上，在这种情况下，您实际上并没有实现OAuth2.0。您可以在HTTP基本头或查询参数中显示

client_key

，它与OAuth 2.0无关，只是您借用了（可以说：滥用…）它的头名称和格式