我正在实现一个基于oauth2的登录流。当用户在oauth2提供者端授予权限时，服务器将获得一个回调，其中包含可用于检索访问令牌的代码。根据定义，这些代码的寿命非常短，但我仍然怀疑它是否被视为不应在应用程序日志中结束的敏感数据（如用户通过常规表单登录时发送的密码参数）
zvms9eto1#
在URL中发送的一次性代码被认为可以安全地记录。他们通常也是短命的。其他示例包括在“魔术”电子邮件链接中发送的nonce值。一旦使用，它们将从后端数据中删除，并且无法重播。如果不使用，它们很快就会过期。授权代码通常具有由存储在授权服务器中的状态确定的一分钟或两分钟的寿命。在任何最新的代码流中，将代码兑换为令牌还需要客户端秘密、PKCE代码验证器或两者。因此，不能单独使用授权码来获得访问令牌。此外，如果您希望在POST响应中接收代码，则可以在授权请求中发送response_mode=form_post参数。但是，如果用户在登录后单击后退按钮，导致表单重新提交警告，则可用性可能会稍差。
nonce
response_mode=form_post
1条答案
按热度按时间zvms9eto1#
在URL中发送的一次性代码被认为可以安全地记录。他们通常也是短命的。其他示例包括在“魔术”电子邮件链接中发送的
nonce值。一旦使用，它们将从后端数据中删除，并且无法重播。如果不使用，它们很快就会过期。授权代码通常具有由存储在授权服务器中的状态确定的一分钟或两分钟的寿命。在任何最新的代码流中，将代码兑换为令牌还需要客户端秘密、PKCE代码验证器或两者。因此，不能单独使用授权码来获得访问令牌。
此外，如果您希望在POST响应中接收代码，则可以在授权请求中发送
response_mode=form_post参数。但是，如果用户在登录后单击后退按钮，导致表单重新提交警告，则可用性可能会稍差。