https - 如果所有 API 调用都通过 https 进行，是否需要 HMAC？

Question

如果所有 api 调用都是通过 https 发送的，HMAC 是否增加了任何额外的安全性？例如，在 oauth 2 中，客户端将其 key 发送给提供者，而不进行任何散列。这是否被认为是安全的，因为它通过 https？虽然不是严格的 oauth，但在此调用中使用 HMAC 会使 oauth 2 更安全吗？如果是这样，为什么那不是 oauth 2 的标准部分？

Answer 1

OAuth 2 标准要求授权服务器必须在其所有端点上使用 HTTPS，并且客户端应该使用受 HTTPS 保护的回调。由于消息内容(头、查询参数和考虑 OAuth 的片段)只有服务器和客户端知道，使用 HTTPS 连接被认为是安全的。因此，使用单独的签名进行授权请求没有任何好处，这就是标准中甚至没有提到此类签名的原因。

但这不一定适用于响应。如果客户端收到对未 protected 回调的授权响应，则无法验证其有效性。在这种情况下，攻击者可以向客户端发送任意授权结果。添加带有回调参数的签名，您可以避免这种情况。但是，使用带有 HTTPS 回调的相互客户端/服务器身份验证似乎是更好的解决方案。

虽然在授权期间使用签名没有真正的好处，但它们可能有助于访问 protected 资源以避免窃取访问 token 。这就是 MAC token 类型在标准中的原因，参见 section 7.1 .