Web services 用于验证客户安全性的Web服务

我正在创建一个web服务，以便向外部供应商公开客户身份验证。在这种情况下，供应商是wifi提供商

我的问题是，如果他们（供应商）通过SSL向服务发布登录名和密码，那么首先验证供应商（访问API）是否是一个好主意？我可以看到争论的两个方面

编辑

---

最终用户将在供应商一侧（即在供应商登录页面）输入其凭据。

供应商永远不会看到您用户的凭据。相反，用户在其上输入凭据的登录表单应该直接提交到您的服务器。如果用户名和密码正确，则应使用票证id重定向回供应商的站点。然后，供应商的服务器可以获取该票证，并询问您的服务是否为有效票证以及任何相关的用户信息。

有什么替代方案？没有身份验证？