18
Đi qua các thông số OAuth2.0 mới (rfc 6749), tôi thấy rằng luồng công việc giao thức Grant ngầm định sử dụng Url Hash Fragments để trao đổi 'access_token' giữa máy chủ Ủy quyền và máy khách công cộng.Luồng tài trợ ngầm OAuth2.0. Tại sao sử dụng các đoạn băm url?
Xem Specs: http://tools.ietf.org/html/rfc6749#section-4.2
có thể không phải là phản ứng cấp phép được gửi đi như 'Query Params' thay vì đoạn Url, giữ các bộ phận khác của dòng chảy vì nó là?
Về cơ bản tôi không thể hiểu được giới hạn đã làm cho các tác giả cụ thể của OAuth2 đã chọn các đoạn băm url cho ủy quyền dòng cấp phép ngầm?
Cảm ơn Bobo! Đồng ý với bạn giải thích. Đọc thông số kỹ thuật nó không bao giờ xảy ra với tôi rằng chuyển hướng đến chuyển hướng không liên quan đến TLS, mà làm cho thẻ dễ bị 'người đàn ông trong cuộc tấn công trung' – aknon
Nhưng điều này mang lại một câu hỏi liên quan đến dòng cấp phép mã ủy quyền. Luồng này, yêu cầu các máy chủ Auth phát hành một 'mã' khi xác thực thành công và chuyển hướng các tác nhân người dùng tới redirect_url cùng với mã. Vì chuyển hướng này không liên quan đến TLS, điều đó không có nghĩa là tính bảo mật của mã 'ủy quyền' bị xâm phạm? – aknon
mã được sử dụng chỉ một lần để tạo mã thông báo và nó được yêu cầu ID khách hàng và mật khẩu khách hàng để nó được bảo mật vì mật khẩu khách hàng không được chia sẻ chỉ là hệ thống khách hàng biết điều đó. –