私のアプリケーションでは、ユーザー名/パスワードの後に SMS または電子メールでユーザーに送信されたコードによる 2 要素認証を使用しています。ユーザーを記憶するために Cookie を使用してきましたが、OWIN の助けを借りて、代わりに OAuth でベアラー トークンを使用したいと考えています。
OAuth は 2 要素認証を何とか解決しますか? そうでない場合、次のことを行うのは悪い考えでしょうか。
- クライアントはユーザー資格情報を
/api/authentication(ApiController) に送信 (ポスト) します。- 資格情報が間違っている場合、サーバーは次のように応答します
400 Bad Request - 資格情報が正しい場合、サーバーはコードを生成し、SMS でユーザーに送信します。次に、クライアントに
401 Unauthorizewithで応答しますWWW-Authenticate: ???
- 資格情報が間違っている場合、サーバーは次のように応答します
- クライアントはコードを
/token(OAuth) に送信しますgrant_type=password&username={code}