csrf - Google OAuth 状态 token 实际上阻止了什么 CSRF？

Question

这个问题在这里已经有了答案:





OAuth2.0 Server stack how to use state to prevent CSRF? for draft2.0 v20

(3 个回答)


4年前关闭。




我已经为不同的 Google 服务实现了几次 Google OAuth2 登录，但从未真正考虑过如果不包含 session token 会如何滥用状态 token 。

我了解 CSRF 的原则，并且我已经按照 https://developers.google.com/accounts/docs/OAuth2Login 中的描述实现了我的 OAuth2 流程。 (在状态 token 中使用 session token )，如果 session token 不存在，我只是看不到攻击者如何滥用它。

也许这与我从 Google 同意页面成功响应后所做的事情有关(我获取刷新 + 访问 token ，将它们存储到状态 token 中指定的用户并重定向到状态 token 中也指定的另一个页面)，但是如何否则有问题吗？

Answer 1

我在一个相关问题中看到了这个答案，它解释了如何进行 CSRF 攻击(以及状态 token 如何防止它):https://stackoverflow.com/a/23640462/736247