"stateless"模式下的 Laravel Socialite——安全隐患？

Question

Laravel Socialite有一个“无状态”模式，它禁止将任何内容存储到 session 中。从阅读源代码来看，它并没有做任何不同的事情——它只是不存储或检索这些值。

作为其中的一部分，它 assumes例如，OAuth 状态始终有效。

检查这一点是 Twitter sign-in documentation 的事情之一。 ，例如，告诉我们去做。

所以我想知道使用 Socialite 的无状态模式会带来什么样的安全隐患。

如果有什么严重的问题，对于作为无状态 API 运行的应用程序，会有什么样的解决方法？我可以将东西存储在它的 Redis 存储中，但我不确定如何将任何信息与当前用户联系起来。通过重新实现 Socialite 所做的事情，我可以例如将状态存储在缓存中，由用户 IP 和浏览器指纹的一些哈希键控。但这似乎非常困惑。

Answer 1

@iandayman 的这个答案显示了没有 OAuth 可能会出现什么问题 state登录流程中的参数:https://stackoverflow.com/a/35988614