Web services 身份验证/自动化web服务：是否为Oauth？

我们需要实现一个身份验证/自动化web服务，我不确定我们是否应该在我们的环境中使用Oauth协议

故事背景：

我们在jboss服务器中有一些J2EE web应用程序。应用程序的身份验证和授权由JAAS实现并部署在此jboss服务器中。我们希望添加一些用其他语言实现并部署在其他服务器中的新web应用程序。为了在jboss服务器中重复使用身份验证/自动授权机制，我们需要为新应用程序实现身份验证/授权web服务

下面是一些想法：

是否有必要为身份验证/自动化web服务调整OAuth协议

据我所知，OAuth2用于授予对功能、用户数据等的访问权。。无需向第三方应用程序提供密码。事实并非如此，因为我们实际上拥有所有应用程序，尽管新应用程序不在身份验证服务器中

另一个选择是实现登录webservice et，然后向新应用返回一个票证/令牌以供以后使用

另一方面，使用OAuth协议，新的应用程序不涉及用户的登录/密码，这似乎很好

---

您有什么想法吗？

OAuth使用“资源所有者（获取用户凭据并允许客户端访问服务器的API）”、“服务器（资源所有者）”和“客户端（希望访问服务器资源但无权访问凭据的客户端）”的概念

OAuth只是为资源提供安全性的一种方法，这意味着不必对所有“身份验证/自动生成”都使用OAuth

在您的情况下，我认为不需要完全成熟的3腿OAuth，但是您仍然可以继续使用0腿OAuth或其他方法。另外，我不明白你所说的“新应用程序不涉及用户的登录/密码”是什么意思，因为这完全是OAuth的目的。用户通常在登录应用程序时提供凭据，然后该登录调用确保客户端可以访问服务器资源

如果您只想“为新应用返回一张票证/令牌供以后使用”，那么OAuth不适合您，因为它不仅仅是提供令牌供以后使用。此外，OAuth中的令牌用于服务器的api访问