Как правильно организовать REST API с OAuth 2.0 и JWT для мобильных приложений?

Question

[motomac]

Делаю API для мобильных приложений. API должен работать для собственного мобильного приложения, а также в будущем для сторонних. Для аутентификации собственного приложения использую инструкции в документации (Client Credentials Grant), т.е. передаю авторизационные данные (client_id, client_secret) из приложения напрямую серверу. Обратно собираюсь получать JWT-токен (JSON Web Token).

Здесь возник вопрос: идентифицировать нужно приложения (мое приложение на Android и iOS) или пользовательские девайсы?

- Если первое, то формально получается, что для сервера на момент аутентификации все девайсы на одной платформе являются одним человеком. Соответственно, и секрет в JWT у всех пользователей iOS приложения будет одинаковым.

- Если второе, то в авторизационные данные кроме client_id и client_secret нужно еще включить какой-то уникальный device_id, который затем сохранять в отдельной таблице вместе с соответствующим ему секретом для JWT.

Верно ли я мыслю, и какой из путей следует выбрать?

Comments

[motomac]

Единственное местое, где я нашел что-то подобное - это API GitHub (https://developer.github.com/v3/oauth_authorizatio...), где при получении access_token наряду с client_id и client_secret передается fingerprint - A unique string to distinguish an authorization from others created for the same client ID and user.

Answer 1

[Viktor Koltcov]

Зависит от того что вы хотите получить, вы хотите чтобы только ваши приложения могли работать с api ?

Comments

[motomac]

В будущем и для сторонних, потому и хочу сделать все по канонам, чтобы не нагородить велосипедов.