Springブートを使用してOAuth2を使用する既存のAPIにクイックサインアップを統合する

Question

Springブートで構築され、OAuth2を使用するWebベースのAPIがあります。 APIはモバイルアプリケーション用です。

モバイルアプリケーションのログインの一環として、ログインするオプションの1つとして、Twitter/Facebookアカウントが使用されています。

私の最初の考えは、APPがFacebook/Twitterでユーザーを認証してからトークンをAPIに渡すことでした。 APIはFacebook/Twitterでトークンを確認し、FB/Twitter Idを収集し、そのIDを使用して新しいアカウントを作成します。しかし、このアプローチの問題は、OAuthライブラリがそのすべてを処理する標準ログイン（ユーザー名/パスワード）のように、既存のOAuthライブラリを使用してベアラトークンを作成する方法がわからないことです。

もう1つの選択肢は、APPにFacebook/Twitterでユーザーを認証させ、ユーザー名としてユーザーFB/Twitter IDを使用してAPIを使用してユーザーを通常どおり登録することですが、統合がはるかに容易です。

分の時点で、認証トークンはOAuthライブラリによってMySQLデータベーステーブルoauth_access_tokenに格納されます。私は手動でJWTを作成し、このテーブルを自分で更新できると思います。

私は有用な提案にはお答えできません。

Answer 1

これは、私が最初に私の質問で提起した解決策である可能性があります。

1）モバイルアプリはFacebook/Twitterでユーザーを認証し、トークンを受け取ります。

2）モバイルアプリは、エンドユーザーのFacebookやTwitterトークンを経由してAPI [/ users/quick-login]にリクエストします。

3）APIはFacebook/Twitterトークンを使用して、Facebook/Twitterからユーザーの詳細を取得します。ユーザーソーシャルメディアIDを取得すると、そのIDを使用してデータベース内のユーザーを検索できます。存在しない場合は、Facebook/Twitterから返された情報を使用してユーザーを作成します。ユーザーのパスワードについては、サーバーのみが知っているキーを使用してユーザーのFacebook/Twitter IDを暗号化します。パスワードは、すべてのパスワードと同じように、データベースに格納される前に再度暗号化されます。これにより、ユーザーのパスワードはFacebook/Twitter IDだけでなく、あまりにも安全でないことが保証されます。

4）我々のAPIはメールアドレスをユーザー名として使用しています。ユーザーのメールアドレスを知っており、パスワードがFacebook/Twitter IDの暗号化されたバージョンであることがわかっているため、自身のOAuthサーバー[/ oauth/token]がユーザー名/パスワードを渡すと、その応答をモバイルアプリに返すだけです。

これは、OAuthサーバーが独自のハードウェアインスタンスで動作している可能性が常にあるため、これを行う最も論理的な方法です。APIのクラスに直接アクセスすることはできません。