oauth - 客户端可以共享 Oauth2 访问 token 吗？

Question

我是 OAUTH 的新手，正在尝试理解规范。所以根据 spec protocol flow ，据我所知，客户端 A 可以获取 protected 资源的授权代码，然后获取访问 token 。
现在，如果已获得访问 token ，则服务(例如 Linked in)期望访问 token 成为 URL 查询的一部分，See their interface document .
所以现在如果客户端 A 与客户端 B 共享了访问 token ，或者例如任何人拦截了请求，并获得了访问 token ，那么他也可以开始访问客户端 A 可以访问的所有详细信息。这种理解是否正确？如果是，那么我们如何保护这种访问 token 共享/滥用？

Answer 1

有多种方法可以将访问 token 传递到 protected 资源的端点。例如，作为查询参数，如:

access_token={Your-Access-Token}

另一个示例是 Bearer Token Usage ( RFC 6750 )，其中访问 token 嵌入在 Authorization header 中，例如:

Authorization: Bearer {Your-Access-Token}

如何传递访问 token 由每个服务定义。
访问 token 必须保密。如果客户端 B 获得颁发给客户端 A 的访问 token ，则客户端 B 可以像客户端 A 一样表现。是的，存在访问 token 泄漏的风险，因此访问 token 的生命周期是有限的，这也是大多数服务具有使用户能够撤销访问 token 的页面。