通用OAuth架构咨询：应用/网站RESTful服务的社交登录流程

针对你提到的场景（移动端/Web应用对接HelloWorld.com的REST服务，支持用户名密码或社交登录），两种流程的适用情况如下：

主流推荐流程：选项1 #

即HelloWorldApp直接调用Google/Facebook等Auth服务获取令牌，再将令牌提交给HelloWorld.com完成认证。

• 符合OAuth2/OpenID Connect的标准设计，第三方身份提供商的认证逻辑就是让客户端直接交互获取令牌，再由业务服务验证令牌合法性。
• 安全性更优：HelloWorld.com无需存储第三方平台的用户凭据，仅通过令牌的签名校验即可完成身份验证，减少中间环节的风险。
• 用户体验流畅：移动端/Web应用可直接调用第三方官方SDK完成授权，减少跳转层级，提升交互体验。

选项2的适用场景 #

这种流程（HelloWorldApp先调用HelloWorld.com，再由后者对接第三方Auth服务）仅适用于HelloWorld.com需要完全接管所有认证逻辑的场景，比如要统一处理多身份提供商的用户信息聚合、自定义授权规则等。但这种方式会增加服务端的复杂度，且不符合标准的客户端认证模式，一般不做优先推荐。

另外补充用户名/密码登录的流程：直接将用户名和密码提交给HelloWorld.com，由服务端验证后返回自身的会话令牌（如JWT），后续请求携带该令牌即可访问REST服务。

内容的提问来源于stack exchange，提问作者JamesDill