竊取oAuth2中的訪問令牌

Question

如果使用客戶端流，則回調URL包含訪問令牌。 因此，如果回調URL是通過HTTP發送的，那么它是否容易受到捕獲和濫用。

如果我的應用程序的用戶2獲得用戶1的訪問令牌，則他可以訪問用戶1的帳戶。

同樣，如果用戶復制了回調URL並將其發送給某人，那么他將在不知不覺中向其他人發送對其帳戶的訪問權限。

我可以想到一些緩解此問題的方法-使回調URL為HTTPS，並在客戶端腳本上從URL等中刪除訪問令牌。這是您應該如何處理的

Answer 1

客戶端流在URL的哈希部分（ /path?#access_token=abcdef ）中而不是在查詢部分中發送oauth_token。 接收客戶端最好將其存儲在sessionStorage （或其他方式）中，並最終使用window.location.hash = ''; 將其從網址中刪除。