node.js - 将 session 从 OAuth 应用程序安全地传递到浏览器

Question

这是一个相当概念性的问题，但我也对实现细节感兴趣。

假设我有一个用 Node.js 编写的 API。

客户端(主要是 iOS 应用程序)通过 OAuth 进行身份验证，然后使用 session token 来授权以下每个请求。

我现在想要从应用程序指向基于浏览器的 Web 应用程序并接管经过身份验证的 session 。

当然，这应该是高度安全的，并且在理论上不能是脆弱的，但在实现明智的思考中应尽可能。

我必须以某种方式确保请求来自同一设备和用户等。

我想过生成一个客户端必须发送的简短有效 token ，但考虑到 TLS 保护的 API，这似乎也不太安全。

Answer 1

您希望比 OAuth 更安​​全。

从 OAuth 的角度来看，无论谁拥有 token ，都有权代表用户行事。您可能希望包含次要 secret 或验证 IP，但我怀疑它在实践中对您有多大帮助:

如果您所在的平台(例如 iOS)没有受到损害，则 OAuth token 的熵将足以确认用户的身份。如果平台遭到破坏，那么您的应用程序可以设置的任何 secret 也可以被假设的攻击者提取。