oAuth 实现 : Does the current domain matter?

Question

我是一名前端开发人员，帮助 UX 团队开发浏览器插件的界面。

该插件基于 HTML/CSS/JS，需要身份验证。目前我们有标准的 u/p 字段，但客户想知道社交登录是否可行。

由于插件的界面被注入(inject)到用户访问的每个页面中，这意味着身份验证请求可以来自网络上的任何地方。

我已经阅读了 oAuth 规范的基础知识，但我找不到这个问题的答案 — oAuth 不要求请求来自一致的位置似乎很奇怪，但我真的不知道我在做什么正在谈论。

从任何随机域发出 oAuth 请求是否可行？

Answer 1

requests come from a consistent location

可以想出与 X 的消费者 key 一致的 token 的人被假定为 X。有 one place请求消费者(您的服务)的 URL:

oauth_callback: An absolute URL to which the Service Provider will redirect the User back when the Obtaining User Authorization step is completed. If the Consumer is unable to receive callbacks or a callback URL has been established via other means, the parameter value MUST be set to oob (case sensitive), to indicate an out-of-band configuration.

但是重定向发生在客户端。可以为每个 请求设置此 URL。您甚至不需要浏览器请求:查看“带外”(OOB) 内容。

该工作流程称为双足 OAuth。

Twitter oAuth callbackUrl - localhost development

---

那个麻烦只是为了身份验证。一旦您拥有用户的访问 token ，您就可以从任何设备代表他执行操作:智能手机、集群中的节点、开发工作站等。X