个人中心
文章发布
退出
作者热门文章
- Java 双重比较
- java - 比较器与 Apache BeanComparator
- Objective-C 完成 block 导致额外的方法调用？
- database - RESTful URI 是否应该公开数据库主键？
26
4
我正在学习 OAuth 2.0，但无法获得在隐式授权流程 中保护访问 token 的方法。规范中有一些论点和一些看起来相互矛盾的 upvoted SO 答案。有人可以清理一下吗？ SO 答案和规范中的引述让我感到困惑:
我的问题:
P1 表示 token 通过重定向 URI 传递给客户端，P2 表示传递 channel 必须是 TLS-ed。但是 P3 说哈希片段没有发送到网络。如果访问 token 因为它是散列片段而不发送，它如何到达客户端？无论如何，它必须通过网络发送，不是吗？或者在没有网络交易的情况下使用重定向 URI 发送 token 会产生一些魔力？
唯一可能的解释 - 在引擎盖下，浏览器仅通过网络发送 url 的非哈希部分，并且在加载新页面后，仅插入哈希片段并使其可用于 JS。如果我是对的，我仍然不明白为什么我们不简单地发送带有可靠、安全的 HTTPS channel 作为响应参数的 token ？
最佳答案
OAuth 提供者使用 HTTP 响应重定向将访问 token 发送回 OAuth 消费者:
HTTP/1.1 302 Found
Location: https://consumer.org/redirect_uri#access_token=1111-2222-3333-4444
请注意访问 token 是如何通过网络发送的，作为来自 OAuth 提供者的 HTTP 响应的一部分，除了消费者之外，它也应该在 HTTPS 上。
然后您的浏览器将向消费者端点执行新的 HTTP GET 请求:
GET /redirect_uri HTTP/1.1
Host: consumer.org
请注意访问 token 是如何不通过网络发送给消费者的。 consumer.org 的服务器将不会收到此 HTTP 请求中的 token 。相反，从 https://consumer.org/redirect_uri 返回的网页将包含能够并且将从 url 片段中读取访问 token 的 javascript。
因此，您需要信任从 consumer.org 收到的 javascript 代码(通过使用 HTTPS)，因为如果攻击者可以注入(inject)代码，它也可以间接获取访问 token (并将其发送到任何地方)。
来自消费者的 HTTP 响应示例:
200 OK
Content-Type: text/html
<html><head><script>
alert(window.location.hash)
</script>
</head><body></body></html>
关于java - 基于哈希片段的安全性到底是如何工作的？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/25765619/
26
4
0
我在Windows 10中使用一些简单的Powershell代码遇到了这个奇怪的问题，我认为这可能是我做错了，但我不是Powershell的天才。 我有这个: $ix = [System.Net.Dn
var urlsearch = "http://192.168.10.113:8080/collective-intellegence/StoreClicks?userid=" + userId +
我有一个非常奇怪的问题，过去两天一直让我抓狂。 我有一个我试图控制的串行设备(LS 100 光度计)。使用设置了正确参数的终端(白蚁)，我可以发送命令(“MES”)，然后是定界符(CR LF)，然后我
我目前正试图让无需注册的 COM 使用 Excel 作为客户端，使用 .NET dll 作为服务器。目前，我只是试图让概念验证工作，但遇到了麻烦。 显然，当我使用 Excel 时，我不能简单地使用与可
我开发了简单的 REST API - https://github.com/pavelpetrcz/MandaysFigu - 我的问题是在本地主机上，WildFly 16 服务器的应用程序运行正常。
我遇到了奇怪的情况 - 从 Django shell 创建一些 Mongoengine 对象是成功的，但是从 Django View 创建相同的对象看起来成功，但 MongoDB 中没有出现任何数据。
我是 flask 的新手，只编写了一个相当简单的网络应用程序——没有数据库，只是一个航类搜索 API 的前端。一切正常，但为了提高我的技能，我正在尝试使用应用程序工厂和蓝图重构我的代码。让它与 pus
我的谷歌分析 JavaScript 事件在开发者控制台中运行得很好。 但是当从外部 js 文件包含在页面上时，它们根本不起作用。由于某种原因。 例如； 下面的内容将在包含在控制台中时运行。但当包含在单
这是一本名为“Node.js 8 the Right Way”的书中的任务。你可以在下面看到它: 这是我的解决方案: 'use strict'; const zmq = require('zeromq
我正在阅读文本行，并创建其独特单词的列表(在将它们小写之后)。我可以使它与 flatMap 一起工作，但不能使它与 map 的“子”流一起工作。 flatMap 看起来更简洁和“更好”，但为什么 di
我正在编写一些 PowerShell 脚本来进行一些构建自动化。我发现 here echo $? 根据前面的语句返回真或假。我刚刚发现 echo 是 Write-Output 的别名。 写主机 $?
关闭。这个问题不满足Stack Overflow guidelines .它目前不接受答案。 想改善这个问题吗？更新问题，使其成为 on-topic对于堆栈溢出。 4年前关闭。 Improve thi
我将一个工作 View Controller 类从另一个项目复制到一个新项目中。我无法在新项目中加载 View 。在旧项目中我使用了presentModalViewController。在新版本中，我
我对 javascript 很陌生，所以很难看出我哪里出错了。由于某种原因，我的功能无法正常工作。任何帮助，将不胜感激。我尝试在外部 js 文件、头部/主体中使用它们，但似乎没有任何效果。错误要么出在
我正在尝试学习Flutter中的复选框。 问题是，当我想在Scaffold(body :)中使用复选框时，它正在工作。但我想在不同的地方使用它，例如ListView中的项目。 return Cente
我们当前使用的是 sleuth 2.2.3.RELEASE，我们看不到在 http header 中传递的 userId 字段没有传播。下面是我们的代码。 BaggageField REQUEST_I
我有一个组合框，其中包含一个项目，比如“a”。我想调用该组合框的 Action 监听器，仅在手动选择项目“a”完成时才调用。我也尝试过 ItemStateChanged，但它的工作原理与 Action
你能看一下照片吗？现在，一步前我执行了 this.interrupt()。您可以看到 this.isInterrupted() 为 false。我仔细观察——“这个”没有改变。它具有相同的 ID (1
我们当前使用的是 sleuth 2.2.3.RELEASE，我们看不到在 http header 中传递的 userId 字段没有传播。下面是我们的代码。 BaggageField REQUEST_I
我正在尝试在我的网站上设置一个联系表单，当有人点击发送时，就会运行一个作业，并在该作业中向所有管理员用户发送通知。不过，我在失败的工作表中不断收到此错误: Illuminate\Database\El
我是一名优秀的程序员,十分优秀！