我应该使用哪种授权类型

Question

我有一个带有django rest框架的REST api构建。我使用oauth-toolkit实现了令牌认证。 现在我开始开发angularJS app，它将使用REST api。之后我还想创建一个也将使用这个REST api的andoird应用程序。

我一直在想我应该使用哪种授权类型？

1. 似乎易于使用的是{{1}}以及公共客户端类型，因为我无法隐藏客户端密钥。客户ID的真正意义何在？任何拥有浏览器开发人员工具的人都可以获取客户端ID，注册并使用我的api模拟作为我的网络应用程序。
2. 客户端凭据，这个不会对用户进行身份验证，因此在我的情况下它没用。
3. 我不确定隐式授权和授权代码

如何让我的app / android应用程序只使用两个应用程序authrozied才能使用REST api？如果允许用户自由注册，似乎无法做到这一点？