oauth - token是什么 - refresh token作用




OAuth 2中的隐式授权授权类型的用途是什么? (6)

https://tools.ietf.org/html/rfc6749#page-8

含蓄

隐式授权是为使用JavaScript等脚本语言在浏览器中实现的客户端优化的简化授权码流。 在隐式流程中,不是向客户端颁发授权代码,而是直接向客户端发出访问令牌(作为资源所有者授权的结果)。 授权类型是隐含的,因为没有中间凭证(例如授权代码)被发布(并且稍后用于获取访问令牌)。

在隐式授权流程期间发出访问令牌时,
授权服务器不认证客户端。 在一些
情况下,客户端身份可以通过重定向URI进行验证
用于将访问令牌传递给客户端。 访问令牌可能暴露给资源所有者或具有对资源所有者的用户代理的访问的其他应用程序。

隐性赠款可以提高某些人的反应速度和效率
客户端(例如作为浏览器内应用程序实现的客户端),
因为它减少了获得一个所需的往返次数
访问令牌。

我不知道我是否有某种盲点或什么,但我已经多次阅读OAuth 2规范并仔细阅读邮件列表档案,我还没有找到一个很好的解释,为什么隐式授权已经开发出获取访问令牌的流程。 与授权代码授权相比,它似乎放弃了客户端认证,没有任何令人信服的理由。 这是如何“为使用脚本语言在浏览器中实现的客户端进行了优化”(引用规范)?

两种流程都是从相同的方式开始的(来源: http://tools.ietf.org/html/draft-ietf-oauth-v2-22http://tools.ietf.org/html/draft-ietf-oauth-v2-22 ):

  1. 客户端通过将资源所有者的用户代理指向授权端点来启动流程。
  2. 授权服务器(通过用户代理)认证资源所有者,并确定资源所有者是否授予或拒绝客户端的访问请求。
  3. 假设资源所有者授予访问权限,授权服务器使用前面提供的重定向URI(请求中或客户端注册期间)将用户代理重定向回客户端。
    • 重定向URI包括授权码(授权码流)
    • 重定向URI包括URI片段中的访问令牌(隐式流)

这是流量分裂的地方。 在这两种情况下,此时重定向URI都是由客户端托管的某个端点:

  • 在授权代码流中,当用户代理使用URI中的授权代码访问该端点时,该端点上的代码将授权代码与其客户端凭证一起交换访问令牌,然后根据需要使用它。 例如,它可以将其写入网页上的脚本可以访问的网页中。
  • 隐式流程完全跳过了这个客户端认证步骤,只是用客户端脚本加载一个网页。 这里有一个可爱的技巧,URL片段保证访问令牌不被传递太多,但最终结果基本相同:客户端托管的站点提供了一个页面,其中包含一些可以获取访问令牌的脚本。

因此,我的问题:通过跳过客户端身份验证步骤获得了什么?


出于安全原因,这不是为了简单。

您应该考虑用户代理客户端之间的区别:

用户代理是用户(“资源所有者”)与系统的其他部分(认证服务器和资源服务器)进行通信的软件。

客户端是想要在资源服务器上访问用户资源的软件。

在解耦用户代理和客户端的情况下, 授权代码授权是有意义的。 例如,用户使用Web浏览器(用户代理)通过他在Kickstarter上的Facebook帐户登录。 在这种情况下,客户端是Kickstarter的服务器之一,它处理用户登录。 该服务器从Facebook获取访问令牌和刷新令牌。 因此,由于访问受限,这种类型的客户端被认为是“安全的”,令牌可以被保存,并且Kickstarter可以访问用户的资源,甚至刷新访问令牌而无需用户交互。

如果用户代理和客户端耦合(例如,本地移动应用程序,JavaScript应用程序),则可以应用隐式授权工作流程 。 它依赖于资源所有者的存在(用于输入凭据)并且不支持刷新令牌。 如果此客户端存储访问令牌以备后用,这将是一个安全问题,因为该令牌可以由其他应用程序或客户端的用户轻松提取。 刷新令牌的缺失是一个附加提示,即此方法不适用于在用户不存在的情况下访问用户资源。


在隐式流程中,如果用户的浏览器被破坏(邪恶的扩展/病毒),那么腐败就会获得用户资源的访问权限,并可以做坏事。

在身份验证流程中,腐败无法实现,因为它不知道客户端密钥。


它归结为:如果用户正在运行基于浏览器或“公共”(JavaScript)Web应用程序且没有服务器端组件,则用户隐式地信任该应用程序(以及它运行的浏览器,可能与其他浏览器基于应用程序...)。

没有第三方远程服务器,只有资源服务器。 授权代码没有好处,因为除了浏览器代表用户行事外,没有其他代理。 出于同样的原因,客户端凭据没有任何好处。 ( 任何客户都可以尝试使用此流程。)

然而,安全影响很大。 从http://tools.ietf.org/html/rfc6749#section-10.3

当使用隐式授权类型时,访问令牌将在URI片段中传输,从而将其暴露给未授权方。

http://tools.ietf.org/html/rfc6749#section-10.16

资源所有者可以通过向攻击者的恶意客户端授予访问令牌而乐意将访问权限委托给资源。 这可能是由于网络钓鱼或其他借口。


我认为Will Cain会回答这个问题,他说:“出于同样原因,客户端证书没有任何好处(任何客户端都可以尝试使用此流程)。”还要考虑隐式流程的redirect_uri可能是“localhost” - 不回拨是从授权服务器为隐式流创建的。 由于无法预先信任客户端,因此用户必须批准发布用户声明。


通常的解释是,当您使用JavaScript客户端时,隐式授权更容易实现。 但我认为这是看错的方法。 如果您使用通过XMLHttpRequest直接请求受保护资源的JavaScript客户端,隐式授权是您唯一的选择,尽管它不太安全。

授权代码授权提供了额外的安全性,但只有当您有Web服务器请求受保护的资源时才能使用。 由于Web服务器可以存储访问令牌,因此访问令牌暴露给Internet的风险较小,您可以发出持续很长时间的令牌。 由于Web服务器是可信的,因此可以给它一个“刷新令牌”,以便在旧服务器到期时可以获得新的访问令牌。

但是 - 这是一个很容易忽略的问题 - 只有当Web服务器受到使用用户身份验证(登录)建立的会话的保护时,授权代码流的安全性才有效。 如果没有会话,不受信任的用户可以使用client_id向Web服务器发出请求,并且与用户拥有访问令牌的情况相同。 添加会话意味着只有经过身份验证的用户才能访问受保护的资源。 client_id只是JS webapp的“身份”,而不是所述webapp的认证。

这也意味着您可以在OAuth令牌过期之前结束会话。 没有标准的方法来使访问令牌失效。 但是如果你的会话过期了,访问令牌就没用了,因为没有人知道它,但是Web服务器。 如果不受信任的用户获得对会话密钥的访问权限,则只要会话有效,他们就只能访问受保护的资源。

如果没有Web服务器,则必须使用隐式授权。 但这意味着访问令牌暴露于互联网。 如果不可信用户可以访问它,他们可以使用它,直到它到期。 这意味着他们将有权访问它的时间超过授权代码授权。 因此,您可能需要考虑让令牌尽快过期,并避免提供对更敏感资源的访问。