java - 如何防止代币替换攻击？

Question

假设我们有两个用户正在执行以下操作 -

1. 用户 1 向身份验证服务器请求访问 token 并获得授权。
2. 现在 user1 将 token 保存到 localstorage/cookie 中以供将来的 API 访问。
3. 现在，User2 访问 User1 浏览器并以某种方式获取 access_token。
4. 现在，User2 使用 user1 的 access_token 调用 api，并且无需登录即可获得访问权限。

现在我们可以验证 token 吗？

Answer 1

你无法避免这种情况的发生。但是， token 应该有一个过期时间，因此攻击者只能在该时间内进行访问。此外，如果您知道 token 已被盗，您可以撤销它，使其不再有效。

您可以应用更多安全措施，例如将 token 与特定 IP 地址相关联，或者使用一些高级服务，甚至使用机器学习来检测异常行为。