rest - 在 OAuth 重定向 URL 中有访问 token 是不是很糟糕

Question

我正在构建一个 oauth 登录流程，我不确定我是否做错了，因为我需要通过重定向 URL 发回不记名 token ，例如/oauth2/redirect?token=[TOKEN]。但是不建议通过 URL 传递 token 吗？正如本 thread 中指出的那样:

Don't pass bearer tokens in page URLs: Bearer tokens SHOULD NOT be passed in page URLs (for example, as query string parameters).

Instead, bearer tokens SHOULD be passed in HTTP message headers or message bodies for which confidentiality measures are taken. Browsers, web servers, and other software may not adequately secure URLs in the browser history, web server logs, and other data structures.

If bearer tokens are passed in page URLs, attackers might be able to steal them from the history data, logs, or other unsecured locations.

我一定是在整个流程中遗漏了一些东西，想了解更多关于这件事的信息。感谢任何输入!

更新

可能不正确，但这是我经过一番挖掘后的理解。传递token的三种方式:

1. 网址(不推荐)
2. 授权 header
3. 请求正文

但在 oauth 重定向用例下，选项 2 和 3 不可行。所以选项 1 是唯一可用的选项。如果确实需要，可以对 token 进行加密以确保安全。

Answer 1

我认为这仅意味着，当服务器需要 token 时，您不应使用 GET 请求，而应使用 POST 或任何合适的请求。在 GET 请求中，参数包含在 URL 中，这些参数最终会出现在日志或其他历史记录中，其他请求类型将发送与请求 URL 分开的参数。

附言顺便说一句，如果您没有自己实现 OAuth 服务器，则不必发送包含 token 的重定向 URL。