我们的 OAuth2 实现存在安全漏洞

Question

我以只有读取权限的 Scott 身份登录。 oauth2 服务器（基于 JAVA）给了我一个令牌。然后我让我的队友把他未过期的令牌寄给我。我更新了我的 Angular 应用程序并硬编码了给我的令牌。我尝试对 api 进行更改，并且能够进行一些更改。

后端 api 如何防止这种情况发生？

Answer 1

您已成功实现session hijack。发生这种情况是因为会话基于存储在网页或 cookie 中的令牌，而不是 IP 地址或其他东西。这是有道理的，因为 IP 地址可以被欺骗，而加密安全的会话令牌实际上是不可能被欺骗的。

虽然您可以添加策略来使这变得更加困难（例如：某种硬件令牌，用于对每条消息进行加密签名），但您为什么觉得需要这样做？除了最安全的网站之外，所有网站都依赖这种机制。