api - Google 获取 token 调用的 redirect_uri 有什么意义？

Question

我有一个使用 Google API 的网络应用程序。身份验证过程对 google 进行了两次调用，第一次是获取 code，第二次是用 code 交换 token。这两个调用都采用 redirect_uri 参数。第一次调用如我所料使用此参数，重定向回 redirect_uri，然而，第二次调用，获取 token ，不重定向，禁止验证它似乎忽略此参数，那又怎样是重点吗？

Answer 1

访问 token 请求中的 redirect_uri 参数在 OAuth 2.0 specification 中被描述为必需的.

其背后的原因在 10.6 部分有详细描述。同一份文件。简而言之:

1. 攻击者可以通过操纵授权请求的request_uri获取授权码。唯一能注意到这个技巧的两方是受害者(合法用户)和服务器。客户仍然不知道这些操作。
2. 即使有了代码，攻击者也无法将其交换为访问 token ，但它可以通过代表自己发送带有被盗代码的“回调响应”来尝试欺骗客户端。
3. 如果客户端可以将它收到的代码交换为 token ，它就会向攻击者授予对受害者数据的访问权限。幸运的是，由于客户端的 redirect_uri 与服务器看到的不匹配，请求将被拒绝。