angularjs - OAuth:如何设置动态回调URL？

Question

我已合并 Satellizer通过各种社交登录提供商(Facebook、Twitter、Google)进入我的应用程序。我的堆栈包括:AngularJS(UI 路由器)和 NodeJS/Express。

我似乎在为用户身份验证设置动态回调 URL 时遇到了挑战。我的应用没有具有一致的登录 URL，例如 http://example.com/login，因为我的所有 URL 都是动态且基于 token 的，例如:http://example.com/XH12aT1771。实际上，我的登录用户体验是模态叠加，并且没有任何一致的登录页面。

我的系统与 OAuth 集成的挑战是在用户通过模态叠加层登录到我的应用程序后，我想将他们放回他们所在的确切房间(或 token )，而不是将他们重定向到某个回调URL 页面，因为这会导致糟糕的用户体验。

这是使我的 OAuth 回调 URL 硬编码的唯一方法，例如:http://example.com/success，然后在用户点击 后将用户重定向回其 token /成功页面？这真的是做这种事情的唯一方法吗？

如果您需要更多问题详细信息，请告诉我，感谢您的帮助。

Answer 1

我不知道 Sattelizer 为您提供的选项，它也取决于授权服务器 (AS) 支持的选项，但是:

从安全 Angular 来看，无论如何，建议使用固定的回调 URL，以防止由于 AS 端 URL 匹配损坏/马虎或 RP 端第三方意外泄露而可能发生的一些攻击因为页面上嵌入的图像/iframe 不消耗 token 等。

因此，无论是否有其他方法，使用固定回调 URL 都是很好的安全实践，并且您可以(希望)将原始 URL 与发送出去的状态参数关联起来，或者将其放入 cookie 中并恢复在使用回调 URL 上的 token 后它。