(adsbygoogle = window.adsbygoogle || []).push({});
据Bleeping Computer网站消息，俄罗斯黑客已经开始使用一种新的代码执行技术，该技术依赖于 Microsoft PowerPoint 演示文稿（PPT）中的鼠标移动来触发恶意 PowerShell 脚本传播 Graphite 恶意软件。恶意代码不需要恶意宏来执行和下载有效负载，从而进行更隐蔽的攻击。
从 2023 年 3 月开始到 2023 年底，GitHub 将逐渐开始要求在 GitHub.com 上贡献代码的所有用户启用一种或多种形式的双因素身份验证 (2FA)。 如果你在符合条件的组中，当选择该组进行注册时，将收到一封通知电子邮件，该电子邮件标志着 45 天的 2FA 注册期的开始，并且你会看到要求你在 GitHub.com 上注册 2FA 的横幅。 如果未收到通知，则表示你不是需要启用 2FA 的组的成员，但我们强烈建议启用 2FA。
鱼叉式网络钓鱼攻击被视为企业最大的网络威胁之一。只需要一名员工输入自己的凭证或运行一些恶意软件，整个企业都会受到威胁。因此，公司投入大量资源来防止凭证收集和有效载荷驱动的社会工程攻击。然而，对于非传统但却同样危险的社会工程——OAuth滥用却没有给予足够重视。在OAuth滥用攻击中，受害者授权第三方应用程序访问其帐户。一旦获得授权，应用程序不需要凭证就可以访问用户的数据，并绕过可能存在的任何双因素身份验证。
一，引言 上一节讲到如何在我们的项目中集成Azure AD 保护我们的API资源，以及在项目中集成Swagger，并且如何把Swagger作为一个客户端进行认证和授权去访问我们的WebApi资源的？本节就接着讲如何在我们的项目中集成 Azure AD 保护我们的API资源，使用其他几种授权模式进行授权认证，好了，开始今天的表演。🎉🎉🎉🎉🎉 二，正文 1，access_token的剖析！ 上一篇结尾我们成功的拿到了 access_token，并且通过 access_token 验证获取到调用Api资源的
无论您使用哪种授权类型或是否使用客户端密码，您现在都拥有一个可与 API 一起使用的 OAuth 2.0 Bearer Token。
若基于公众号开放平台构建一个xx文章排版软件的轻应用，需要先到公众号开放平台申请注册成为开发者，再创建个应用就可以开始开发了。
首先，好消息：Google 将在 2020 年 2 月发布 Chrome 80时，包括 Google 实施的“渐进式更好的 Cookie”(Incrementally better Cookies)，这将使网络成为一个更安全的地方，并有助于确保用户获得更好的隐私（站长注：现在是2022年4月28号，Chrome已经发布了多个更新版本）。
很多知名网站都采用支持OAuth2认证， 允许第三方应用接入， 客户端接入 OAuth2 服务器这方面的资料已经很多了， 但是关于怎么搭建自己的 OAuth 服务器这方面的资料则比较少， 接下来就介绍一下怎么用微软的 OWIN 中间件搭建自己的 OAuth 服务， 实现 OAuth2 框架中的认证服务器和资源服务器 。
关于Hybrid Flow 和 implicit flow 我在前一篇文章使用OpenID Connect添加用户认证中提到了implicit flow，那么它们是什么呢，它和Hybrid Flow有什么不同呢，这里简单讲一下。 Hybrid Flow 和 implicit flow是OIDC（OpenID Connect）协议中的术语，Implicit Flow是指使用OAuth2的Implicit流程获取Id Token和Access Token；Hybrid Flow是指混合Authorization
单页应用程序（也称为基于浏览器的应用程序）在从网页加载 JavaScript 和 HTML 源代码后完全在浏览器中运行。由于浏览器可以使用整个源代码，因此它们无法维护客户端机密的机密性，因此这些应用程序不使用机密。因为他们不能使用客户端密码，所以最好的选择是使用 PKCE 扩展来保护重定向中的授权代码。这类似于也不能使用客户端密码的移动应用程序的解决方案。
说到GIF动图，大家可能第一反应是手机微信里那各式各样的表情包了，用表情包斗图是现在人们的一种沟通方式。然而，GIF动图到了黑客手里，就不仅是一种“沟通方式”了。
以OpenAI 的ChatGPT 所掀起的GenAI 快速创新浪潮，其中连接LLM 和 应用之间的桥梁的两大开源项目：LangChain[1]和Semantic Kernel[2] ，在半年前写过一篇文章 LangChain vs Semantic Kernel [3]，这半年以来Semantic kernel 有了显着改进，这篇文章反应了最新的更新。
本文告诉大家一个令人震惊的消息，Windows Community Toolkit 有一个大更新，现在的版本是 3.0 。最大的提升就是 WinForm 和 WPF 程序可以使用部分 UWP 控件。
最近e5订阅很火，但是玄学的续订方式也让人摸不着头脑，有的人说挂个oneindex就续订了，有的人说所有第三方程序都挂了一遍也没续订，所以有人按照微软的官方文档写了一个刷api的脚本，原理很简单，就是重复调用microsoft graph的api，一次调用10个api，5个onedrive的api还有4个outlook的api,剩下一个是组的api，调用一次后延时等待五分钟再重复调用。 但是原作者的代码需要在服务器上运行，成本较高。后来又有一位大佬找到了不用服务器也可以运行的的办法。而后者的方法是建立在前者的基础上的，因此我将他们的教程融合了起来，并对其中的个别词语进行了微调。
OAuth2混合模式（Hybrid Flow）是一种OAuth2授权模式，它结合了授权码模式和隐式授权模式的优点，可以在保证安全性的同时，提供更好的用户体验。
微软近期发现了一个总部设在黎巴嫩的攻击组织 POLONIUM。根据受害者与攻击工具的分析，微软认为其很有可能是由伊朗情报与安全部（MOIS）下属的攻击者运营的。并且，微软未发现该组织的攻击与过往黎巴嫩相关攻击组织有任何关联。自从 2020 年以来，有消息称伊朗正在从第三方代理人处开展网络攻击行动，以对抗归因指责。 在过去的三个月中，POLONIUM 组织已经攻击了二十余个以色列组织与一个在黎巴嫩开展业务的政府间合作组织。该攻击利用合法云服务（OneDrive）与受害者进行 C&C 通信。 攻击活动 自
Gitness 是一个建立在 Drone 之上的新型开源开发者平台，具备代码托管和流水线功能。它提供了以下核心优势：
Yii2中OAuth扩展及QQ互联登录的方法，实例分析了OAuth扩展的相关配置与QQ互联登陆的实现技巧。
Oauth2.0是一个很通用的验证框架，很多编程语言都对其进行了实现，包括Java、PHP、Python、NodeJS、Ruby、NET、Erlang、Go、C等。大家可以在如下页面，查看自己所使用语言的实现方案。
社区优秀文章 Laravel 5.5+passport 放弃 dingo 开发 API 实战，让 API 开发更省心 - 自造车轮。 API 文档神器 Swagger 介绍及在 PHP 项目中使用 - API 文档撰写方案 推荐 Laravel API 项目必须使用的 8 个扩展包 使用 Jwt-Auth 实现 API 用户认证以及无痛刷新访问令牌 讲讲我最近用 Laravel 做的一个 App 后端项目 Laravel Passport API 认证使用小结 关于 RESTful API 设计的总结
2、服务器验证通过后，在当前对话（session）里面保存相关数据，比如用户角色、登录时间等等。
【译者注】本文是作者在自己的工作经验中总结出来的RESTful API设计技巧，虽然部分技巧仍有争议，但总体来说还是有一定的参考价值的。以下是译文。
在本文中，Curity的Daniel Lindau概述了重要的OAuth授权流程和能力。
具有两个标识区域等效于建立两个独立的 UAA 部署，但使用的资源较少。这种类型的资源管理可以减少运营和维护开销。
浏览器提供了各种持久化数据的解决方案。当存储令牌时，您应该权衡存储选择与安全风险。
创建一个解决方案的指南，避免安全风险，能够很好地扩展到许多组件，易于扩展，并且只需要简单的代码。
JWT(json web token)是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准。 JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源。比如用户登录。在传统的用户登录认证中，因为http是无状态的，所以都是采用session方式。用户登录成功，服务端会保存一个session，服务端会返回给客户端一个sessionId，客户端会把sessionId保存在cookie中，每次请求都会携带这个sessionId。 cookie+session这种模式通常是保存在内存中，而且服务从单服务到多服务会面临的session共享问题。虽然目前存在使用Redis进行Session共享的机制，但是随着用户量和访问量的增加，Redis中保存的数据会越来越多，开销就会越来越大，多服务间的耦合性也会越来越大，Redis中的数据也很难进行管理，例如当Redis集群服务器出现Down机的情况下，整个业务系统随之将变为不可用的状态。而JWT不是这样的，只需要服务端生成token，客户端保存这个token，每次请求携带这个token，服务端认证解析就可。
1，授权认证与微服务架构 1.1，由不同团队合作引发的授权认证问题 去年的时候，公司开发一款新产品，但人手不够，将B/S系统的Web开发外包，外包团队使用Vue.js框架，调用我们的WebAPI，但是这些WebAPI并不在一台服务器上，甚至可能是第三方提供的WebAPI。同时处于系统安全的架构设计，后端WebAPI是不能直接暴露在外面的；另一方面，我们这个新产品还有一个C/S系统，C端登录的时候，要求统一到B/S端登录，可以从C端无障碍的访问任意B/S端的页面，也可以调用B/S系统的一些API，所以又增加了
！！如果您生产环境用到了Blog.Core系统（本文是我自己逻辑问题，和官方没关系哈），且没有做其他修改，且没有使用Ids4认证中心来授权认证，请看完本文，并即时做系统维护。 ----------------------------------------------------
谷歌的API使用的OAuth 2.0协议进行身份验证和授权。谷歌支持常见的OAuth 2.0场景，如那些Web服务器，安装，和客户端应用程序。
截至目前，项目已经完成了在线学习功能，用户通过在线学习页面点播视频进行学习。如何去记录学生的学习过程呢？要想掌握学生的学习情况就需要知道用户的身份信息，记录哪个用户在什么时间学习什么课程；如果用户要购买课程也需要知道用户的身份信息。所以，去管理学生的学习过程最基本的要实现用户的身份认证。
栗子一： 小新现在想要使用一个“在线打印服务”来打印一些照片，同时小新的照片都存储在了“云网盘”上，按照传统的方式小新要怎么做呢？
Shhgit能够帮助广大研究人员以近乎实时的方式寻找GitHub（包括Gists）、GitLab和BitBucket提交代码中的敏感数据和敏感文件。实际上，在GitHub中发现敏感数据并不算什么新鲜事了。目前也有很多很好的工具可以帮助我们去寻找开源代码库中的敏感信息。比如说，类似gitrob和truggleHog这样的工具，可以帮助我们挖掘commit历史记录并寻找特定代码库的机密令牌。除此之外，GitHub本身也可以通过他们的令牌搜索项目来寻找敏感信息。它们的目标是实时识别提交代码中的秘密令牌，并通知服务提供商采取行动。所以从理论上讲，如果任何AWS密钥被提交到了GitHub，Amazon就会收到通知并自动撤销它们。
跨站请求伪造（CSRF）是针对Web应用攻击常用的一种手段，恶意的Web应用可以影响客户端浏览器与信任该浏览器的Web 应用之间的交互，因为 Web 浏览器会在向网站发送每个请求时自动发送某些类型的身份验证令牌。这种利用形式也被称为one-click attack或者session riding，因为攻击利用了用户之前经过身份验证的会话。跨站请求伪造也被称为 XSRF 或 CSRF
OAuth 2.0 全称是 Open Authorization 2.0, 是用于授权(authorization)的行业标准协议。OAuth 2.0 专注于客户端开发人员的简单性，同时为 Web 应用程序、桌面应用程序、移动设备应用等提供了特定的授权流程。它在2012年取代了 OAuth 1.0, 并且 OAuth 2.0 协议不向后兼容 OAuth 1.0。
3.测试过程：运行项目，然后选择时间，然后点击【确认】按钮，然后再编辑愿望，再点击【提交】按钮
第三方认证技术方案最主要是解决认证协议的通用标准问题，因为要实现跨系统认证，各系统之间要遵循一定的接口协议。
随着公司的业务规模不断扩大，运维纳管机器的数量也在增加，引入自动化手段为捉襟见肘的工作减压，已成为重中之重。本文分享笔者在企业DevOps过程中，是如何有效结合ZabbixAPI来实现批量监控的案例。
访问令牌是应用程序用来代表用户发出 API 请求的东西。访问令牌代表特定应用程序访问用户数据的特定部分的授权。
OAuth 2.0 是一个授权协议，它允许软件应用代表（而不是充当）资源拥有者去访问资源拥有者的资源（如何让一个系统组件获取另一个系统组件的访问权限）
小故事 在开始讲这篇文章之前，我们来说一个小故事，纯素虚构（真实的存钱逻辑并非如此） 小刘发工资后，赶忙拿着现金去银行，准备把钱存起来，而与此同时，小刘的老婆刘嫂知道小刘的品性，知道他发工资的日子，也
随着计算机、互联网技术的飞速发展，信息安全已然是一个全民关心的问题，也是各大企业非常重视的问题。企业一般会从多个层次着手保障信息安全，如：物理安全、网络安全、系统安全(主机和操作系统)、应用安全等。
我写过一篇文章 《拥抱开源，Office 365开发迎来新时代》，给大家介绍了Office 365开发的典型场景是如何支持开源平台的：Office 365通过Microsoft Graph，以REST API的方式提供服务，任何开发平台都可以很方便地与其进行集成；Office Add-ins，SharePoint Add-ins和Microsoft Teams Apps开发，都可以基于标准的Web开发技术栈来实现，而且官方提供了对NodeJS，React，TypeScript等主流平台和框架的默认支持（工具和模板层面都有）。
前言 本文及IdentityServer这个系列使用的都是基于.net core 2.0的。上一篇博文在API项目中我使用了Microsoft.AspNetCore.Authentication.JwtBearer组件来代替IdentityServer4.AccessTokenValidation组件，今天（2017-9-12）我发现后者已经更新到了2.0.0，支持.net core 2.0，所以现在所使用的组件已经更新为后者，在代码里我有详细注释。 资源所有者密码授权 OAuth 2.0 资源所有者密码授
在涉及到后端项目的开发中，如何实现对于用户权限的管控是需要我们首先考虑的，在实际开发过程中，我们可能会运用一些已经成熟的解决方案帮助我们实现这一功能，而在 Grapefruit.VuCore 这个项目中，我将使用 Jwt 的方式实现对于用户的权限管控，在本章中，我将演示如何使用 Jwt 实现对于用户的授权、鉴权。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
