gpt4 book ai didi

web-services - 防止 token 共享的最佳方法是什么?

转载 作者:行者123 更新时间:2023-12-04 04:21:32 28 4
gpt4 key购买 nike

我正在寻找阻止客户共享 oauth token 的想法,即创建 token 的客户应该只是使用它的客户。在服务器端可以做些什么来防止该客户与其他人共享 token ?

最佳答案

有几个 IETF RFC/草案试图提供一种方法来验证客户端是 token 的“所有者”。
这些规范与 OAuth2 框架协议(protocol)相关,但是它们可以在任何其他 token 交换上下文中实现。
它们是:

  • MAC token :OAuth 2.0 Message Authentication Code (MAC) Tokens (好像被抛弃了)
  • POP 代币:
  • OAuth 2.0 Proof-of-Possession (PoP) Security Architecture
  • OAuth 2.0 Proof-of-Possession: Authorization Server to Client Key Distribution
  • RFC7800: Proof-of-Possession Key Semantics for JSON Web Tokens (JWTs)


  • Hawk Tokens 另一个有趣的协议(protocol):见 https://github.com/hueniverse/hawk (Eran Hammer 是 OAuth2 贡献者)
    如您所见,所有这些规范都依赖于客户端签名的请求。这似乎是验证客户端是否允许使用 token 的最佳方式。任何其他验证,例如 IP 地址、用户代理、设备 ID……都不可靠,因为它们可能会被欺骗。

    关于web-services - 防止 token 共享的最佳方法是什么?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/38910562/

    28 4 0
    Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
    广告合作:1813099741@qq.com 6ren.com