在授权码流的情况下，我们应该检查令牌吗？
在授权码流的情况下，我们应该检查令牌。
授权码流是一种常见的身份验证流程，用于获取访问令牌。在这个流程中，用户通过提供用户名和密码等凭证，向授权服务器请求授权码。授权服务器验证凭证的有效性后，颁发一个授权码给客户端应用程序。然后，客户端应用程序使用授权码向授权服务器请求访问令牌。
尽管授权码流已经验证了用户的身份，但仍然有必要在获取访问令牌后对令牌进行检查。这是因为授权码流只验证了用户的身份，而没有验证令牌的有效性和权限。
在检查令牌时，可以考虑以下几个方面：
- 令牌的有效性：检查令牌是否过期或被撤销。令牌通常具有有效期限，超过该期限后将不再有效。此外，令牌可能会被撤销，例如，用户主动注销或管理员禁用了该用户的访问权限。
- 令牌的权限：检查令牌所包含的权限是否满足当前操作的要求。令牌通常会包含一些访问权限或作用域，用于限制客户端应用程序的操作范围。在进行敏感操作之前，需要确保令牌具有足够的权限。
- 令牌的完整性：检查令牌是否被篡改或伪造。令牌可能会在传输过程中被攻击者截获并篡改，或者攻击者可能伪造一个有效的令牌。为了确保令牌的完整性，可以使用数字签名或其他验证机制。
在腾讯云的云计算领域，可以使用腾讯云的身份认证服务（CAM）来管理和验证令牌。CAM提供了一套完整的身份认证和访问控制解决方案，可以帮助用户实现令牌的有效性检查、权限管理和安全性保障。
更多关于腾讯云CAM的信息，请参考腾讯云CAM产品介绍：腾讯云CAM
相关·内容
请参考此视频，特别是从20:00到25:00。
他描述的工作流程是:客户端应用程序通过浏览器连接到授权端点。用户输入凭证，身份验证服务器对用户进行身份验证，并使用重定向发送授权码。客户端应用拦截浏览器活动并提取授权码。向令牌端点发出新的请求以及该认证码、客户端id和很少的其他信息。作为回报，app获得访问和刷新令牌。
是什么阻止某人在第一步(比如通过浏览器历史记录)窃取身份验证令牌，然后联系令牌端点以获取访问和刷新令牌？
浏览 1提问于2019-01-30得票数 0
我尝试使用GCS“用户凭证”通过libcurl库连接到Google云存储。“用户凭证”身份验证需要客户端Id和密钥才能连接到GCS，但在此过程中还需要生成身份验证码。
我需要使用cURL生成此身份验证码。有人能帮我吗?？
浏览 0提问于2019-06-25得票数 0
3回答
我是JWT实现中的新手，出现了一个问题。
我在php中使用JWT构建了一个用户登录身份验证。在用户登录时，如果用户的凭证是有效的，那么登录API的响应就是作为cookie存储的令牌，而不是有$_SESSION变量，而是通过调用API对令牌进行解码并在web应用程序的每个页面上检索用户数据来获得用户的数据。
如果用户想更新他的个人详细信息(姓名、电子邮件等)，我希望基于新的详细信息生成一个新的JWT，并强制以前的过期或以某种方式使其无效。因此，在以后的API调用中，前面的令牌必须无效。我想在数据库上存储令牌，但我认为这是不对的。
我怎样才能让它起作用？
浏览 0提问于2019-10-10得票数 0
回答已采纳
4回答
IdentityServer流
、、、、
IdentityServer支持不同的OpenId连接流，这些流在枚举中定义并为客户端设置。每种类型的流都有示例，并且在文档中有很多对它们的引用，但是我在中找不到流的简单定义列表，因为它们太明显了，无法用语言来解释。但我猜他们不是。你能多讲讲它们之间的区别吗?也许我们可以把它们加到文档中去？
那么什么是：隐式流、资源所有者密码凭证流、授权码流、客户端凭证流、自定义授权<代码>E211</代码>流和<代码>E112</代码>混合<代码>E213</代码>流？另外，哪些是OAuth流，哪些是OpenID连接流？
谢谢!
浏览 16提问于2015-04-17得票数 56
回答已采纳
我正在研究Google的身份验证部分。
我使用的是“服务器”流，而不是“隐式”。
在实现步骤1以获取code准则时，建议使用state参数来确保最终服务提供者将收到与他发起的auth请求相关的响应。
请参阅
据我所知，code有可能被偷，redirect_uri猜到了。
但我不明白为什么这叫做反CSRF保护？
根据 CSRF攻击，“利用站点在用户浏览器中的信任”。
据我所知，应该在浏览器中保留一些敏感的内容，以使CSRF攻击成为可能。最经典的例子-认证曲奇。
但是，在浏览器中，与OpenID有关的是什么--连接代码流？
这仅仅是两个后续的重定向从服务提供者到身份提供者和返回。
代码本身在回调时
浏览 3提问于2019-11-12得票数 10
回答已采纳
1回答
我需要实现用户的单点登录，它可以从几个不同的服务获得服务。
当只有一个服务时，用户可以从客户端登录，将请求发送到后端，将URL返回到JWT令牌颁发者服务器，用户可以从该服务器获得令牌，然后将令牌发送回BE，现在他已通过身份验证。
现在的变化是，他需要得到更多的服务。每个服务都有自己的前端和后端，但每个人都使用相同的颁发者。这意味着既有带有FE和BE的服务，也有另一个用于身份验证的通用BE。
在该场景中进行身份验证的正确流程是什么？是否可以为客户端为每个所需的服务颁发令牌？或者，BE是否应该使用服务的BE url响应客户端，并让客户端自己发送来自每个服务的身份验证令牌响应？还是别的什么？
浏览 1提问于2019-12-01得票数 0
好的，寻求一些指导
我正在考虑设置一个中央认证和授权服务器，以便使用DotNetOpenAuth登录和访问我们的Api。
到目前为止
OpenId ->认证
OAuth ->授权行..。然后就会变得凌乱。
OpenId对OAuth有一个扩展。(那么连接和Auth2.0有多大的需求呢！)
OpenId连接有点像Auth2.0吗？
OAuth2.0允许身份验证
提到OAuth2.0有一个新的用户名&密码流
用户名和密码流-在用户信任客户端处理其凭据但客户端仍然不希望存储用户的用户名和密码的情况下使用。只有当用户和客户端之间存在高度信任时，此流才适合。
但从谷歌提到的
浏览 5提问于2012-10-18得票数 4
2回答
我正在尝试在Android应用程序中使用Google Plus登录(具有后端支持)。
我可以从用户那里获得访问令牌和电子邮件，但我不知道如何从服务器识别这个用户。我通过SSL使用POST将此邮件(电子邮件和oauth令牌)发送到服务器
当然，我可以通过他们的电子邮件来识别他们，但这将为每个人打开大门，让他们知道数据库中有另一封电子邮件。
如何验证用户已正确通过身份验证，并为此电子邮件向我发送了正确的oauth令牌？
谢谢!
浏览 1提问于2013-05-08得票数 1
来自
4.4.1.13.威胁:代码替换(OAuth登录)
攻击者可以使用受害者的身份尝试登录到应用程序或网站。依赖OAuth受保护的服务API提供的身份数据登录用户的应用程序容易受到此威胁。这种模式可以在所谓的“社交登录”场景中找到。
作为先决条件，资源服务器提供API来获取有关用户的个人信息，这些信息可以被解释为已获得用户身份。从这个意义上说，客户端将资源服务器API视为“标识”API。客户端利用OAuth获取标识API的访问令牌。然后，它查询标识API中的标识符，并使用它查找其内部用户帐户数据(登录)。客户端包含这一点，因为它能够获得有关用户的信息，因此用户已经通过了身份验证。
如果客户
浏览 3提问于2012-10-18得票数 4
回答已采纳
我有一个(不是ASP.NET！)应用程序。我使用了内置的内部用户身份验证机制，这意味着使用web.config文件：
<authentication mode="Forms">
<forms loginUrl="~/Logon.aspx" name=".ASPXFORMSAUTH" timeout="180" slidingExpiration="true">
</forms>
</authentication>
<authorization&g
浏览 4提问于2020-01-20得票数 1
我一直在阅读不同的OAuth流程，并对授权代码流程感到困惑。据说授权码流更安全，因为即使授权码在传输过程中被劫持，它对黑客也是无用的，因为黑客需要客户端id和客户端秘密来获取访问令牌-但是如果当客户端在收到授权码后请求访问令牌时，黑客破解了传输并获得了访问令牌呢？我不知道，但看起来授权代码只是增加了一层额外的安全性，但实际上并没有完全保护访问令牌。我说的对吗？请纠正我。
浏览 0提问于2017-10-06得票数 1
1回答
我喜欢OAuth/OpenID可以从另一个域对用户进行身份验证/标识的方式，但前提是其他域允许这样做(大概是根据用户的说明)。
我想做一些类似的事情，但是使用CORS AJAX或者像JSONP这样的替代方法。问题是，当使用整个页面重定向时，“登录域”可以确定它向哪个域提供auth_token/info，因为它是在发出HTTP重定向。然而，对于JSONP来说，情况并非如此。
我现在的想法如下，我的问题是：
这种模式的缺点是什么？
在没有两个单独的请求的情况下(对于非CORS的情况)，有没有一种方法可以做到这一点？
普通案例：
编辑:本节最初假设了一个JSONP请求-实际上，我认为它可以是任何类型
浏览 0提问于2013-05-31得票数 9
回答已采纳
在我们的web应用程序(ASP.NET)中，我们通过授权代码流使用OpenID连接：
用户被重定向到身份提供者(例如Azure AD)，认证，
授权代码是POSTed返回到我们的web应用程序中的一个页面。
然后，我们的web应用程序使用授权代码从身份服务器检索刷新令牌、id令牌和访问令牌。它们以cookie的形式存储在客户端上(将HttpOnly标志设置为true)。这是为了避免对服务器状态的依赖，以防用户被负载均衡器路由到另一个web服务器。
当用户访问页面时，我们验证ID令牌的签名和有效期，并根据应用程序中的用户数据库检查我们使用的身份声明(例如电子邮件地址或UPN)。
浏览 1提问于2018-11-12得票数 2
回答已采纳
2回答
目前，我有一个SPA，后面有多个springboot微服务(资源服务器)。身份验证和授权在后台使用服务于“登录页”(同意屏幕)的Spring进行。在Oauth服务器中，有一个ldapAuthentication提供程序将身份验证委托给Active Directory，其余的(用户详细信息和权限)从jdbc从自定义数据模型(组和权限)中获取。我有开始使用Okta (企业)的要求。从概念上讲，我是否必须完全删除Server，并使用Okta完成所有有关身份验证和授权的操作？流量会是多少？我目前使用的Bearer令牌会发生什么情况？当对请求应用安全访问时，每个资源服务器的内省会发生什么？我很困惑从开始
浏览 10提问于2022-09-19得票数 0
回答已采纳
2回答
我正在阅读网站Oauth.com，试图理解如何在单页面应用程序中实现安全性，这时我发现了以下声明：
“保护没有客户端机密的授权码授予的唯一方法是使用”“state”“参数并将重定向URL限制为受信任的客户端。由于未使用机密，因此除了使用注册的重定向URL外，没有其他方法可以验证客户端的身份。”
如果我理解正确，他说我可以使用注册重定向URL验证我的SPA的身份。
问题1:如果我将授权码重定向到url (web服务器)，如何在浏览器中运行的SPA中找回它(或访问令牌或受保护的资源)？
问题2:可以在此注册的url中执行哪种检查来验证我的SPA身份？
浏览 1提问于2020-08-21得票数 0
1回答
拦截OAuth授权代码
、、、、
在我工作的系统中，可以通过OAuth授权代码授予来验证单个页面应用程序(带有后端)的用户，而不需要使用PKCE。
所以：
用户单击登录并重定向到auth服务器。
用户进行身份验证，并使用授权代码重定向回回调url。
客户端将授权代码发送到后端的公共端点。
后端端点提供一个客户端id和机密，以及作为访问令牌&刷新令牌的授权代码，然后在响应中将它们返回给客户端。
客户机现在可以使用访问令牌向我们的API发出经过身份验证的请求。
由于步骤3中的端点是可公开访问的，那么如何阻止攻击者拦截授权代码并通过postman向端点发送请求，以便他们接收令牌而不是我们的客户端？
浏览 1提问于2021-12-04得票数 2
2回答
我有一个一般性的安全问题：
假设有一个通过登录和密码授权的客户机服务器应用程序，使用服务器和客户端之间的安全连接(https)。用户可以拥有不同的权限，允许用户访问服务器提供的不同类型的信息。这只是服务器功能的一部分。但它会造成很大的交通负荷。
所以我想介绍另一种服务器(信息服务器)，除了主服务器之外，它只提供信息用途。这应该是尽可能简单，所以我不想介绍任何类型的互动之间的主机和信息服务器通过网络。
那么，我现在看到了什么解决方案(客户机和服务器之间的所有连接都是安全的)：
主服务器通过登录和密码执行用户授权；
主服务器检测用户拥有什么权限，存储用户信息和对字符串的权限，用对称私钥加密字符串。
浏览 0提问于2014-01-21得票数 4
回答已采纳
我用的是和。
提供以下代码对用户进行身份验证。
firebase.auth().signInWithPopup(provider).then((result) => {
/** @type {firebase.auth.OAuthCredential} */
var credential = result.credential;
// This gives you a Google Access Token. You can use it to access the Google API.
var token = credential.accessToken;
//
浏览 3提问于2022-12-03得票数 0
我用oath2做了我自己的认证服务器(没有使用任何facebook或google)，我想知道在移动设备上首先在哪里存储客户端秘密。由于共享首选项可以在根电话上被黑客攻击，而访问令牌请求需要客户端id，因此我面临着一个问题。
(请不要将此问题标记为重复，因为我在类似的帖子中没有找到答案)
浏览 0提问于2016-05-01得票数 2
2回答
我需要为RESTful架构实现一个身份验证方案。在我读过的几篇文章中，包括使用HTTPs的基本身份验证和使用Cookie的会话管理。
然而，我对cookie的用法并不是很了解。我所理解的是用户首先发送凭证。服务器检查凭据是否正常。如果是，则服务器生成授权令牌并将其放入cookie中。此后，在每次请求时，服务器都会检查cookie中令牌的有效性。
但是服务器如何知道cookie的内容是有效的呢？它会将数据存储在某个地方，然后进行比较吗？
浏览 2提问于2011-11-16得票数 2
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储活动推荐
腾讯云开发者
