7
Trong trợ cấp ngầm định, mã thông báo truy cập được gửi trở lại trong URL gọi lại. Đây không phải là một nguy cơ bảo mật bởi vì, nếu URL gọi lại này được lưu trữ trong hop. Nói chung, chúng tôi khuyên bạn không nên gửi dữ liệu nhạy cảm trong thông số URL và mã thông báo truy cập này sẽ là mã thông báo để truy cập tất cả tài nguyên người dùng được bảo mật. Vì vậy, tại sao nó được chuyển thành mảnh trong URLKhoản Trợ cấp Ima ngầm 2.0 Oauth an toàn là bao nhiêu?
Ngay cả khi access token được gửi qua https, vì nó là một đoạn, nó sẽ không thể cho các máy chủ hop trung gian trong mạng để đánh hơi nó. – Karthik
Ý của bạn là ngay cả khi được gửi qua http? – codeprogression
Nếu chúng tôi giả định Oauth Server là X và máy khách yêu cầu quyền truy cập là Y. Sau đó, ngay cả khi mã thông báo truy cập được gửi dưới dạng phân đoạn trong https, từ X sang Y, các máy trung gian trong mạng www từ X đến Y có thể đọc mã thông báo truy cập này (tức là: nghe lén trên tham số truy vấn https/phân đoạn là, dễ dàng như nghe trộm một tham số truy vấn http/phân đoạn). Chỉ dữ liệu trong cơ thể HTTP được mã hóa trong trường hợp https. – Karthik