security - OAUTH 客户端 secret 安全、本地主机重定向 URI 和模拟

Question

在过去的几年里，我一直在使用 OAUTH 2 做一些工作。我有几个授权服务器和几个使用它们的客户端。

任何使用 OAUTH2 制作应用程序或某些客户端解决方案的人都知道客户端密码可能是个问题。可以通过使用访问代码授权来减轻这种情况。一直在谈论使用代理来获取 secret 。

我的问题是关于重定向 URI - 这是为了保护访问代码授予过程。 Auth 服务器只会将访问代码返回到文件中的重定向(在该客户端 ID 的数据库中)。这个问题与移动应用程序有关。它们通常取决于 https://127.0.0.1或 https://localhost用于重定向 URI。任何人都可以获得本地主机 token ，对吗？

在这种情况下，是什么阻止某人使用 localhost 重定向 URI 冒充 clientID？我能不能制作一个模仿猫的应用程序，使用真实的客户端 ID 使用相同的 OAUTH2 登录流程，如果我能够让用户登录，我现在有一个 OAUTH token 来访问资源服务器。我错了吗？

如果有人能对此有所了解，我将不胜感激。我想尽可能多地学习，任何事情都有帮助。

Answer 1

您描述的攻击是使用授权码授予 native 移动应用程序时的一个已知弱点。已经开发了一个名为“代码交换证明 key ”的 OAuth 2.0 扩展，通过使用动态生成且只有真实客户端知道的“代码验证器”来减轻这种威胁。
这项工作在 IETF 中被标准化为 OAuth Public Clients 称为 Proof Key for Code Exchange 的 RFC，可在以下位置获得:https://www.rfc-editor.org/rfc/rfc7636