FacebookやGoogleまたは他のサードパーティを使用しているモバイルクライアントからのOAuth2認証

Question

現在、2種類の許可タイプ、passwordおよびrefresh_tokenを処理しているOAuth2サーバを実装しました。

今、私のクライアントが自分のFacebookアカウントまたはGoogleアカウントを使用して認証する必要がありますが、私の質問は同様のフローに適用される可能性があります。

FacebookやGoogleの認証を行うには、アプリケーションでデータを取得するためにアプリケーションを認証する必要があります。実際にFacebookやGoogleにアクセスしてフェッチする必要があります。

私はそれを行う方法は2つありますが。

1. ユーザーは、自分のFacebookアカウントにログインし、アプリケーションを認証してアクセストークンを取得します。それは自分のサーバーにアクセストークンを送り、私はそれを使ってデータを取得します。

2. ユーザーはFacebookアカウントにログインし、アプリケーションを認証し、認証コードを取得し、サーバーに送信し、認証コードを使用してユーザーのアクセストークンを取得し、データ。

あなたの経験やベストプラクティス（私はこの種のワークフローを見つけることができませんでした）から、最良の選択肢は何ですか？

Answer 1

私の職場では、第2のタイプ（明示的な認可タイプと呼ばれます）が使用されています。

暗黙的な付与型より暗黙的な付与型のもう1つの利点は、リフレッシュトークンが暗黙的にサポートされていることです。あなたのアクセストークンの非常に長い有効期限を保つか、トークンが期限切れになったらユーザーはリダイレクトダンスを行う必要があります。

アクセストークンの有効期限が非常に長くなる必要はないので、明示的な許可タイプでより安全です（私はFacebookやGoogleで使用するときにアクセストークンの有効期限を変更できないと信じています）リダイレクトする必要はありません（再ログイン）