使用web api的安全实现

我是WebApi、Cloud等的新手。我对我的项目有一些要求，但由于互联网上有很多资源，我无法决定该走哪条路。

要求：

• 用户应向权威机构（即facebook/google等）表明自己的身份

• 用户nameidentifier应传递到我们的Web-API并存储在数据库中

• 获取当用户验证自己的时提供给我们的令牌/密钥

• 在每个api请求的头中发送令牌，并验证用户身份

• 它应该在移动客户端应用程序（Windows手机、Android、iOS）上运行。

问题：

1） 在使用外部授权时识别客户端，然后在客户端调用我们的web api时授权客户端，最简单的方法是什么？

2） 是否可以将AD配置为使用外部身份提供商（即facebook、谷歌），或者只能使用ACS？

3） 唯一需要考虑的是nameidentifer（没有姓名或电子邮件地址等）。

相关链接

• 他们的Asp.Net身份
• WebApi-2的个人账户
• Active Directory有一些东西，所有人都声称我需要哪一个，但我应该选择哪一个？什么是赞成和反对