oauth-2.0 - OAuth 2 - 「ユーザー名とパスワードのフロー」と「クライアント資格情報のフロー」の違いは何ですか

Question

どちらの場合も、ユーザーの資格情報がアクセス トークンと交換されています。誰かが違いを説明できますか？

http://hueniverse.comからのフローの説明は次のとおりです。

• User-Agent Flow – for clients running inside a user-agent (typically a web browser).
• Web Server Flow – for clients that are part of a web server application, accessible via HTTP requests. This is a simpler version of the flow provided by OAuth 1.0.
• Device Flow – suitable for clients executing on limited devices, but where the end-user has separate access to a browser on another computer or device.
• Username and Password Flow – used in cases where the user trusts the client to handle its credentials but it is still undesirable for the client to store the user’s username and password.  This flow is only suitable when there is a high degree of trust between the user and the client.
• Client Credentials Flow – the client uses its credentials to obtain an access token. This flow supports what is known as the 2-legged scenario.
• Assertion Flow – the client presents an assertion such as a SAML assertion to the authorization server in exchange for an access token.

Answer 1

ここでクライアントとユーザーの資格情報を混同しています。

OAuth のコンテキストにおけるクライアントは、常に承認されるアプリケーションを指します。このように、クライアント資格情報フローでは、アプリケーションは、ユーザーからの入力なしでプロバイダを使用して直接自身を承認します (関係するのは 2 つの当事者のみであるため、 2-legged フローとも呼ばれます)。

ユーザー名とパスワードのフローは3 本足のフローです。ユーザーが自分のユーザー名とパスワードをアプリケーションに提供すると、アプリケーションはこれらの資格情報を使用してプロバイダーにデータを要求します。