OAuth 授权流程与令牌生命周期
API、身份认证与企业系统集成#FDE#第六阶段#API、身份认证与企业系统集成#OAuth 授权流程与令牌生命周期约 553 字 · 2 分钟阅读
追问显示点击任意追问卡片可收起 / 展开
OAuth 授权解决什么问题？
追问 用户、客户端、授权服务与资源服务怎样分工？授权协议为何不独自定义用户登录身份？
授权码流程的请求链路怎样工作？
追问 浏览器重定向、回调与服务端换令牌各发生在哪里？哪些信息不能暴露在前端？
PKCE 的 verifier 与 challenge 各有什么作用？
追问 授权请求与换码怎样关联？公开客户端和机密客户端的安全条件如何核对？
state 应怎样与当前授权请求关联？
追问 校验、有效期和一次性使用如何处理？怎样避免信任回调中的任意跳转地址？
redirect_uri 应怎样注册与验证？
追问 测试和正式入口如何区分？过宽匹配或开放跳转可能破坏什么边界？
scope 应怎样对应最小必要权限？
追问 读取、写入与管理如何分别申请？授权范围仍不能代替哪些资源归属检查？
Client Credentials 适合什么场景？
追问 它代表服务还是个人用户？后台同步如何限制空间和数据范围？
刷新令牌应怎样保存和使用？
追问 轮换、撤销与重复使用怎样按服务端约定处理？多个请求同时刷新如何协调？
用户取消授权或换码失败时怎样收尾？
追问 临时状态、页面反馈和重试入口如何清理？失败原因哪些可向用户展示？
接入旧式 OAuth 流程时怎样评估风险？
追问 密码直接交给客户端等方案有哪些边界？如何依据当前安全规范提出兼容或迁移计划？