Есть ли необходимость в OAuth (2-legged) в HTTP

Question

Есть ли необходимость использования OAuth (2-legged) в HTTP.В трехстороннем сценарии мы используем oauth для целей делегирования.но какова цель Oauth (2-legged) через https.

В моем сценарии я являюсь потребителем, а также пользователем, поэтому не требуется авторизация, и я использую https, https не воспроизводится, а также защищенный канал.что ты скажешь мне использовать ouath

Я не говорю о 3-хногих или http

Answer 1

Согласно спецификации oAuth, раздел 11.3 ,

Хотя OAuth предоставляет механизм для проверки целостности запросы, это не дает гарантии конфиденциальности запроса. Если не дальнейшие меры предосторожности, подслушивающие будут иметь полный доступ к запросить содержание. Поставщики услуг должны тщательно рассмотреть виды данных, которые могут быть отправлены как часть таких запросов, и должны использовать механизмы безопасности транспортного уровня для защиты конфиденциальных ресурсов.

Понятно, что если в вашем запросе нет защищенных данных, например, user_id = 2 & messageId = 33, то в https нет необходимости, но в двухстороннем сценарии, где вы передаете пароль при получении токена доступа, вы должны иметь использовать https в то время.

В обоих случаях, как на 2-х, так и на 3-х ногах, правило таково: когда вы обновляете / извлекаете защищенные данные (например, обновление кредитной карты, платежи, пароли), вам необходимо использовать https.