在設計一個資源分享應用。設計RESTful API時，在設計層面有些蒙圈了。特地求教各位。

物聯(lián)網(wǎng)設備通過設備云服務抽象成一個設備API。而我目前設計的Web APP則是通過與應用業(yè)務的整合，將設備API封裝后，再次封發(fā)給第三方APP（比如其他合作平臺）和移動APP。

    DeviceAPI --> WebAPI -?-> Cloud|APK|APP

我現(xiàn)在有兩種選擇：

第一種來自Flask/Flask-RESTful的API設計，采用JSON格式。先采用API Key/Secret登陸，換取token，然后在后續(xù)訪問中采用token來訪問，也可以利用API Key/Secret繼續(xù)訪問。這是最常見的經(jīng)典方式。典型的URL風格是：

http://host/api/version/resource/idx/

第二種來自Flask-appbuilder自帶的資源驅動的REST API，采用JSON格式。但是其鑒權方式采用經(jīng)典的username/password。換而言之，移動APP事實上是作為瀏覽器的替代物而存在的。唯一區(qū)別在于返回值采用JSON替代了XHTML。典型URL風格是：

http://host/resource/api/idx

有些怪異，是吧？但URI字段順序并不是最重要的，我發(fā)現(xiàn)移動APP和第三方APP的需求是有差異的。

作為用戶，使用移動APP列出自己名下的設備列表，并通過設備ID來訪問特定設備的狀態(tài)讀取和指令下發(fā)。所以這種方式更加適合第二種方式。

作為合作方網(wǎng)站，需要訪問的范圍可能更加廣，雖然不能夠指令下發(fā)，但是讀取特定設備的狀態(tài)也涉及到隱私權。這個似乎更加適合第一種方式。

必須依賴設備ID訪問特定設備，不同的用戶，不同的第三方平臺都需要單獨的設備密鑰。這兩種方式是否可以整合？

這個問題比較寬泛，歡迎指教和討論。