instagram - 类似于 Tinder Instagram Connect

Question

所以我注意到，像 Tinder 这样的应用程序可以在其他人的手机上显示用户 A 的 Instagram 连接，即使不需要其他用户实际登录 instagram。

例如:用户 A 连接 instagram 并获取访问 token 。用户-B、C、D...无需登录instagram 就可以看到A 的公开和私有(private)照片。

有没有一种方法可以在不需要访问 token 的情况下查看另一个用户的 instagram - 甚至只使用 CLIENT_ID 就可以查看私有(private)图片？

Answer 1

让我们不要混淆。 Tinder 用户可以选择分享 Instagram 照片。 Tinder 无法在全局范围内访问 Instagram 照片。我将从安全角度回答您，因为我从未尝试过设置带有 Instagram 连接的 Tinder 帐户来为您测试场景。实际上，根据我对 Instagram APIs 的理解可能无法获取用户的 私有(private) 图片。但我可能是错的，所以让我继续我的讨论。

访问 token 嵌入在Tinder应用程序代码中，根据混淆程度，反编译代码可能会发现，如果使用mitmproxy等软件几乎可以肯定。 .我不会在这里讨论这种做法。

因此，Tinder 客户端被授予访问用户图片的 token 。

用户选择在 Tinder/Instagram 上访问他的私有(private)照片。单一访问 token 适用于所有选择加入 Instagram 的用户的照片。如果您窃取 Tinder 的 token ，您可以访问任何 Tinder-Instagram 用户的私有(private)照片。这还不错。用户选择向全世界分享私有(private)照片。但是，如果 Instagram 用户不是 Tinder 用户，请确保您不会得到任何东西

请注意， token 对 Tinder 应用程序有效，并且 不是 用户 A 的 token 。这是安全实践所禁止的。

通过将您的 Tinder 帐户与 Instagram 相关联，您授予 Tinder 已发行的 token 以代表您访问您的照片。

总结:

Tinder 客户端 - Actor

Instagram - 资源服务器

用户 A 的照片 - 资源

用户 B(在 Tinder 上，而不是在 Instagram 上)- 不是工作流程中的参与者

颁发给 Tinder 的 token :访问拥有 的用户的任何(公共(public)或私有(private)？？？？？？)照片选择 在 Tinder 上分享 Instagram 照片

注:火种客户端 可能或 可能不会使用 Instagram 发行的 token 。从一般的安全角度来看，有两种实现场景:

Tinder 客户端使用颁发给 Tinder 应用程序并在所有客户端中编码的 token 与 Instagram 服务器联系

PRO:带宽仅向用户收费

缺点:暴露 token 可能会授予一个人访问任何 Tinder-Instagram 用户照片而无需经过 Tinder

Tinder 应用程序请求 Tinder 服务器从 Instagram 获取照片。 Tinder 客户端仅通过 Tinder 服务器进行身份验证

PRO:更安全的设计。 Tinder-to-Instagram token 从未暴露。如果用户离开 Tinder，他将无法访问其他 Tinder 用户的 Instagram 照片

缺点:Tinder 服务器将对检索和分发照片所需的带宽收费。如果 Tinder 开始缓存照片

，这会使 Tinder 可能违反 Instagram API ToS