Security 保护RESTful Web API，其中身份提供程序和授权主机是同一服务器

我的任务是保护RESTfulWebAPI免受无数攻击（钓鱼、重播、冲突等）

我们已确定最适合此目的的技术包括：

• TLS（在API和应用程序之间防止网络钓鱼）
• OAuth 2（为不同的用户应用程序提供授权）
• 基于声明的身份验证（各种用户访问规则）
• ASP.NET Web API 2

我们遇到的问题是，身份提供程序是一个现有的内部库，它与授权提供程序（将与自定义STS对话）位于同一台服务器上。我们还有两个客户端：一个web应用程序和一个本地平板电脑应用程序，它们都必须与API安全交互（因此标记化）

我的问题是：上述方法是可行的还是必要的？对于这种情况，OAuth（密码凭证授予）是否有过多的杀伤力

---

谢谢。

你有没有想过？