Quando utilizamos OAuth temos o "servidor de autorização" e o "servidor dos recursos". O servidor dos recursos é o servidor no qual está a API, ou seja, é nele que está a interface para os recursos que queremos proteger. O servidor de autorização, por outro lado, é responsável por realizar as autorizações e dar permissões.
Eu sei que esses dois servidores podem ser o mesmo. Na realidade, só para motivar a pergunta, foi sempre assim que eu trabalhei. Eu utilizava o ASP.NET Web API 2 para criar API's RESTful e o framework oferecia uma implementação de um servidor de autorização OAuth. Nesse caso, a minha aplicação mesmo fazia os dois papeis. Acontece que agora no ASP.NET 5 não existe mais esse servidor de autorização e eu estou procurando alternativas.
O que eu quero saber é o seguinte: é correto utilizar um provedor externo como servidor de autorização? O que quero dizer é usar os serviços de OAuth do Google, Facebook, Microsoft como servidor de autorização ao utilizar o OAuth na minha API para gerar os tokens de acesso?
Lendo um pouco da especificação do OAuth parece tudo bem. Mas por outro lado, eu sinto que não está muito certo não. Duas razões que me ocorreram foram:
Esses serviços OAuth não parecem ter sido criados para isso. Parece que a intenção ao criar esses servidores de autorização era justamente para que eles fossem usados para os próprios serviços, ou seja, para acessar as API's do Google, Facebook, Microsoft, e não para proteger outras API's.
Quando eu ouvi falar que o servidor de autorização é o responsável por dar permissões isso me pareceu equivalente a dizer que é nele que são definidas as claims dos usuários. Isso me faz achar o uso de provedores externos algo errado nesse caso. Isso, porque, definir as claims é algo baseado em regra de negócios da aplicação que eu estou desenvolvendo.
Eu tenho várias outras questões sobre o uso de provedores externos com OAuth em API's RESTful, mas vou deixar para outras perguntas mais focadas. No caso, quero saber: é correto utilizar esses provedores externos como servidor de autorização para geração de tokens de acesso para poder utilizar OAuth em API's RESTful?
Se for correto, e esses dois pontos que eu pensei? Como ficam essas questões?
Edição: Eu posso estar completamente enganado, mas eu vejo esse caso da API RESTful diferente do login com provedor externo usado em sites, como aqui no stackoverflow.
Apesar de isso ser assunto para outra pergunta, a diferença que eu vejo é em síntese a seguinte: quando codificamos um site, estamos oferecendo automaticamente uma interface de usuário. Nesse caso podemos gerar um botão que vai levar o usuário para a tela de login do provedor. Quando o usuário loga ele volta direto para o site.
No caso de um API RESTful, não há a interface de usuário. Ela é simplesmente uma API e o usuário não vai acessar diretamente. Vai existir, em geral, um client que chama essa API. Assim não da pra fazer na API um botão de login que leva o usuário para a página do provedor. Mais do que isso, se o usuário vai para a página do provedor, por intermédio do client, como que a API é comunicada depois? Afinal, depois de fazer o login no provedor, o redirecionamento levaria o usuário para o client. As coisas parecem ficar desconexas no caso da API, justamente porque passa a ter um client no meio intermediando tudo.