php - 关于如何制作 Oauth nonce 的安全问题

Question

除了随机的 30 个字符的字母数字字符串作为我的 nonce 之外，我真的可以让我的请求更安全吗？

Answer 1

实际上，尽管 RFC 说“随机字符串”，但随机数不一定是随机的。它必须是独一无二的。

使用 nonce 的安全好处是防止重放。服务器只接受已签名的请求，但攻击者可以 try catch 已签名的请求并稍后再次发送。由于服务器只接受具有特定 nonce 值的请求一次，因此这不起作用。

作为客户，您的工作是确保您永远不会使用相同的随机数和时间戳发送两个请求。通过生成随机字符串，您可以概率性地确保这一点。但是您也可以使用每秒重置的全局计数器。

服务器的工作是存储它从特定客户端接收到的所有随机数。出于实际原因，服务器可以在一定时间后使随机数过期，但前提是它也拒绝所有具有相应陈旧时间戳的请求。

因此，对于 20-30 个随机字符，您可以合理地确信您永远不会在一秒钟内生成两个相同的随机数。但是 6-8 个字符，就像在 RFC 示例中一样，如果您存储和检查您生成的随机数，或者在服务器拒绝您的随机数时乐于重试，就足够了。