security - 基于 URL 的身份验证链接

Question

有哪些好的建议或资源可以帮助我保护基于单击 URL 的身份验证？

本质上，这种情况是第三方系统通过浏览器接受 HTTPS 请求，您在浏览器中提供身份验证信息(un、pw、authkey 等...)。然后，该服务在对提供的凭据进行身份验证后，将允许或拒绝登录访问。关键是，如果有人点击链接，他们将自动获得访问此第三方系统的权限。

目前，整个过程并没有太多的安全措施(这不是什么大问题，因为产品尚未投入生产)并且第三方愿意进行一些修改以确保这一点涨了一点。

我已经确定我需要对信息进行哈希处理，甚至可能通过 POST 提交它以防止它在浏览器历史记录中显示信息。但我想就你们如何处理这样的事情发表一些意见。

[编辑:请求正在并将继续通过 HTTPS 发送。我也修改了以前的HTTP为HTTPS]

Answer 1

1. 不要考虑“稍微保护一下”。它要么从头开始就很安全，要么就会有漏洞，让您付出高昂的代价。

2. 查看HTTP Digest Authentication .它简单、可靠并且在大多数情况下都能正常工作。

3. 查看 OWASP.org前 10 个漏洞。确保您了解并解决每一个问题。