oauth-2.0 - oAuth 令牌会被盗吗

Question

假设我使用 O-Auth 进行应用程序的身份验证。假设我访问具有基于令牌的身份验证的 API。作为身份验证密钥的令牌掌握在黑客手中。黑客能否冒充真实用户？

标签： oauth-2.0

Answer 1

答案是肯定的。这就是为什么你的令牌应该是短暂的，最好不要使用刷新令牌。黑客有时会在令牌过期后获得令牌，因此它比用户名和密码要好得多。它仍然不是万无一失的，您应该使用其他技术来停止和监控可疑请求，例如监控和限制 IP 地址、每秒阻止太多请求等。