OAuth-запрос и токены доступа - PullRequest
11 голосов
/ 21 июня 2011

Я хочу внедрить oauth 1 на моем веб-сайте, и мне просто интересно, нужно ли мне изменить request token, как только он будет заменен на access token?

Заранее спасибо

1 Ответ

22 голосов
/ 21 июня 2011

Жетоны запроса должны быть временными и уникальными.После выдачи вы должны забыть все об этом, либо а) прошло несколько минут, либо б) он был использован для запроса токена доступа.Разрешение на повторное использование маркеров запроса откроет вам доступ к http-атакам.

Раздел 6 спецификации OAuth 1.0 гласит:

Маркер запроса: ИспользуетсяПотребителем попросить Пользователя разрешить доступ к Защищенным ресурсам.Авторизованный пользователем токен запроса заменяется на токен доступа, ДОЛЖЕН использоваться только один раз и НЕ ДОЛЖЕН использоваться для каких-либо других целей.РЕКОМЕНДУЕТСЯ, чтобы токены запроса имели ограниченный срок службы.

...