文章探讨了OAuth2.0协议与HTTPS的关系，指出尽管用户代理（user-agent）理论上可以不使用HTTPS，但这样做并不安全。官方文档强调在涉及敏感信息时必须使用TLS。OAuth2.0中，不使用HTTPS可能导致令牌重放攻击等安全风险。文章还提及OAuth1.0a的安全优势，但因其复杂性，开发者更倾向于使用OAuth2.0结合HTTPS保障安全。
提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档
文章目录
前言
Oauth2.0协议的应用越来越广泛了，呈现了一种全民部署的大状态，介绍规范和安全问题的文章越来越多。而我看到一篇有点误导的科普文章终于坐不住了。刚好在搞毕设，就来浅分析下英文文档。
友善进行讨论^_^
一、Oauth2.0
1.Oauth2.0与Https的关系？
咱们从一些问题快速引入。下面的一些观点来自博客关于oauth2.0安全性你应该要知道的一些事，全部根据官方文档进行讨论。Oauth2.0 rfc6749
Oauth2.0在不支持Https的网站也能安全使用吗？
额，我觉得这篇文章想说的是“user-agent浏览器-认证服务器不支持Https能安全使用吗”，其实是可以但不安全的，这个问题在本文会正反角度论证给出结论。
但这里说法给人有点误导，客户端服务器端-认证服务器端是不行的，Oauth2.0本质还是明文传输消息，消息使用TLS(Transport Layer Security)进行加密。
先来看看官方文档规定了几个提到TLS的地方8。
翻译之后的意思就是：
任何使用客户端凭证涉及到密码的时候，授权服务器必须使用TLS，来防
最低0.47元/天 解锁文章
扫一扫
609
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
