为什么在 OAUTH 中未加密返回令牌秘密？

Question

我对 OAUTH 系统中的“密钥”（或“令牌”）的理解就像一个“用户名”来识别发件人，它不是机密的，但“秘密”实际上就像一个“密码”。

但是在阅读http://oauth.net/core/1.0/#signing_process 上的 OAUTH 1.0 规范时，我觉得当 consumer 询问 服务提供商 对于令牌（请求令牌或访问令牌），令牌和令牌机密以 PLAIN（仅 base-64 编码）文本作为 HTTP 响应返回。

在搜索网页后，它看起来并非所有情况，“请求令牌 URL”是 HTTP 而不是 HTTPS，这意味着 第 3 方可能会拦截令牌和令牌秘密。

所以到目前为止我错了吗？我知道即使是第 3 方拦截了令牌秘密，它仍然没有用，因为消费者（或任何声称作为消费者的一方）的任何请求都必须使用第 3 方通常不知道的消费者密钥（加上令牌秘密）进行签名，但是随后为什么我们需要令牌秘密呢？

Answer 1

虽然允许使用http，但推荐（见附录B.1）使用安全传输（https），否则你的担心是有道理的。我确信 Google 允许在其所有 OAuth 交易中使用 https://，至少在获取令牌和机密方面，以及对于我迄今为止尝试过的所有 API 数据请求。