Estoy creando una API RESTFul de Java con Jersey2. La API será consumida por los desarrolladores. Los desarrolladores deben obtener acceso a los puntos finales a través de un access_token (preferiblemente no caducado).
Eché un vistazo a Kong y otras implementaciones de oauth2, pero tengo la sensación de que esto podría ser superado.
Así que creo que una autenticación RBA basada en token debería estar bien para el principio. El problema es que este enfoque se basa en las fechas de caducidad de los tokens. Pero como dije, esto no es lo que quiero. Entonces, ¿está bien tener tokens que no caducan?
También, ¿qué te parece? ¿Es Oauth2 esencial para mi caso de uso? ¿Y qué tan difícil sería migrar luego de un concepto de seguridad simple (RBAC con tokens de acceso) a Oauth2?