Facebook上的Spring Social OAuth舞蹈安全嗎？

Question

我正在使用Facebook Spring Social庫。

連接安全時（針對中間攻擊者等），Spring Social圖書館與Facebook之間的OAuth舞蹈是否存在？ 如果沒有，我需要怎么做才能使其安全？

我有點擔心的原因是Spring文檔提到Facebook使用OAuth 2，並且我相信OAuth 2已經簡化，它依靠HTTPS來保護OAuth舞蹈。

PS我的Web應用程序在HTTP上運行

Answer 1

是的，Spring Social在與Facebook合作時的API綁定以及OAuth2“舞蹈”中均支持基於HTTPS的OAuth2。 請注意https://github.com/SpringSource/spring-social-facebook/blob/master/spring-social-facebook/src/main/java/org/springframework/social/facebook/connect/FacebookOAuth2Template.java中的URL執行OAuth2“舞蹈”時使用HTTPS進行Spring Social的證據。

如果不這樣做，那么從安全角度考慮，這不僅是一個壞主意，而且根本行不通。 除非涉及到訪問令牌，否則Facebook不允許您使用其API，除非它通過HTTPS。 如果嘗試通過HTTP將訪問令牌傳遞給任何API端點（即使不安全，甚至訪問令牌是偽造的），也會收到錯誤消息。 例如，將您的瀏覽器指向http://graph.facebook.com/gopivotal?access_token=fasddasf ，您將收到錯誤提示。

是的，Spring Social在與Facebook合作時支持HTTPS。 如果沒有，那將根本無法工作。

Answer 2

我們正在廣泛使用它（一個大項目）。 我們考慮了幾種處理此功能的方法，最后得出結論：彈簧可以安全使用。

實際上，我們的系統部分是用JavaScript編寫的，並在NodeJS上運行，然后將其轉換為Java，因為我們對Spring的實現更加自信。

另外，我認為他們在比較OAuth 1/2時談論的簡化部分就是舞蹈。 往返次數較少。