java - 确保后端服务安全的正确方法 - oAuth

Question

我正在开发一项 oAuth 服务(我是这么想的。它可能不完全相同。)向商家开放我们的后端 API 之一。

基本上用户可以从商家的电子商务网站购买商品，并可以使用我们的支付网关进行付款。

我们有针对商家和用户的注册系统，并且我们向他们颁发一个ID(公开可用的字母数字)。

我的计划是 oAuth 服务。

   1) First merchant sends above mentioned id to our oAuth server.
   2) Then oAuth server sending token, refresh token and expiry time as response.
   3) Then merchant sends that token with other required information such as amount again to oAuth server to open our payment gateway web interface.
   4) user use that interface to provide his ID and pin to confirm the transactions.
   5) Then from over oAuth server we call our back end RESTFull service to do the actual transaction (Merchant account receive money and customer account will debited)
   6) After completion of transaction we redirect user again to merchant's website.

*所有通信均通过 https channel 完成。

我有疑问

    1) Whether  my approach is correct to secure the above given flow.
    2) Do I really need a tokens here or only ID is enough? If I only used ID what I'm going to missing here.
    3) Is there any possibility that some one can cheat the process.

期待您对此提出建议。

Answer 1

您的网站和商家网站是否有相关的用户 ID？基于我们所做的类似实现，有一些需要注意的地方。

1. 您肯定需要一个 token 。

2. IMO，您应该将 token 标记为用户 ID，这意味着商家应在初始请求中发送用户 ID。

3. 我不明白为什么您需要将到期时间发送回商家应用程序。只要有 token 就足够了。您应该拥有一项使已用 token 过期的服务。

4. 考虑以某种方式加密 token 。