oauth-2.0 - 您是否为 OAuth 2.0 请求生成后端或前端状态参数？

Question

我一直在网上搜索答案，但找不到明确的答案。
因为我不太了解 CSRF 攻击和 state OAuth 2.0 中的参数是为了避免这种攻击我只是想知道 state需要在客户端生成参数并将值放在本地存储或后端服务器上，然后将其存储到 session 变量中，然后返回到客户端以创建我的 URL。第一个解决方案似乎是最好的，但它安全吗？

任何帮助是极大的赞赏。

Answer 1

更多关于状态参数可以从 this answer 中找到.
在哪里生成状态和存储在哪里取决于您的应用程序的性质。无论客户端类型如何，客户端必须做的是验证授权码响应中的状态参数。
对于不包含后端的单页应用程序，必须在浏览器本身中生成和存储状态。一旦响应到达，就必须比较状态值。
对于 native 应用程序(例如:- 移动应用程序)，状态可以存储在应用程序内存中。它可以附加在授权请求中。当响应到来时，可以从内存中验证
如果应用程序需要，状态可以存储在后端(例如:-服务器)。这可以被认为更安全(与 SPA 相比)，因为除了请求本身之外，没有人可以拦截/获取值。一旦发生重定向，后端可以验证响应参数。此外，它可用于关联客户端 session 。
此外，窃取状态值仅对尝试进行 CSRF 攻击的一方有值(value)。但要注意生成无法猜测的状态值。进一步阅读存储 - 3.6. "state" Parameter