security - 如何使用 OAuth2 重定向错误来防止不良操作回火

Question

当 OAuth 流程失败时，我们会像这样重定向回客户端

https://example.com/?error=error_1&state=abcd

errorparam的可能值可以是error_1或error_2。并基于此值需要做出决定。

现在客户端如何确保重定向确实是由 OAuth2 服务器而不是由谁

• 弄清楚根据error查询字符串的不同可能值做出的决定。
• 不知何故，停止了原始重定向以到达example.com（因此它不是回复攻击），然后手工制作了与由于浏览器重定向而发出的任何请求相同的伪造请求。

对于成功的流程，我知道我们将返回一个code需要交换的，并且有 PKCE 以提供额外的安全性以防止伪造。您如何确保为错误重定向提供相同级别的保证？

标签： securityoauth-2.0