security - 为什么不能窃取访问 token ？

Question

我正在学习 OAuth 并且我有一个问题，我找不到答案..

我了解请求 token 授权或不授权应用程序使用 API。但是一旦用户获得了访问 token ，如果有人窃取了他的访问 token 会发生什么？

想象一下，我们有类似 http://www.example.com/api/article/1?access_token= 的东西******访问 token ******

如果我将此 url 提供给另一个用户，另一个用户将拥有我的访问权限，因此 API 不再受到保护？

Answer 1

简短回答:是的，对于 OAuth2 - 任何拥有有效 access_token 的人都可以访问该 token 指定的资源。多久取决于 OAuth2 提供者的实现。

关于 OAuth1 和 2 的长答案:

说到OAuth 1 访问 token 不够 .您还需要访问 token secret 以及消费者 key 和 secret 。保持访问 token 的 secret 性并限制其范围和有效时间仍然很好，但是您不能在没有客户端和 token secret 的情况下使用访问 token 。 OAuth 1 不要求您使用 SSL，因为加密已内置于规范中。

OAuth 2是不同的 - 可以说，对访问 token 保密更为重要。因此，API 提供者应确保访问 token (在 OAuth2 中也称为不记名 token )仅在尽可能短的时间内有效。这些 token 就像密码一样工作，如果被拦截，攻击者可以立即使用。因此，OAuth2(带有不记名 token )规范要求所有通信都通过 SSL 进行——因为规范中没有内置加密技术。通常访问 token 的有效期很短，可以使用“刷新 token ”刷新，该 token 具有更长的有效期，但仅在消费者收到初始不记名 token 以及不记名 token 刷新时才转移。