OAuth“状态”是否减轻了任何真正危险的攻击？

Question

我使用OAuth Playground 来更好地理解OpenID Connect 流程，它对验证state 参数有这样的说法：

用户被重定向回客户端，您会在 URL 中注意到一些额外的查询参数：

?state=7ymOWcwttpCfDNcs&code=Tav2TPBjSNvR8aowA3oe

由于攻击者有可能制作与此类似的 GET 请求，因此攻击者可能会向您的应用程序提供垃圾授权代码。您需要首先验证 state 参数是否与此用户的会话匹配，以便您可以确定您发起了请求，并且只发送了一个用于您的客户端的授权代码。

根据这种解释，我们用 state 参数阻止的唯一“攻击”似乎是攻击者向我们的应用程序发送错误代码，我们针对授权服务器检查错误代码，然后我们被拒绝。

但是这实际上并没有给攻击者带来太多或伤害我们：我们只是向身份验证服务器发出一些额外的 http 请求，如果我们立即拒绝请求，我们就不需要发出这些请求当状态不匹配时我们的服务器。

我的问题是：我的理解是否正确，还是我错过了 state 正在阻止的更严重的攻击向量？

Answer 1

我的问题是：我的理解正确吗

没有

为什么？

OAuth 2.0 规范提供了一个可靠的示例，说明可以使用伪造的重定向做什么。一、来自definition，

状态：推荐。客户端用来维护的不透明值 请求和回调之间的状态。

State 有助于将授权请求与授权响应关联起来，防止跨站请求伪造。认为您的客户有一个接收响应的重定向 URL。如果恶意方使用有效的访问令牌（使用隐式流时）重定向到您的客户端怎么办。如果此访问令牌允许访问属于您使用的同一资源服务器中的恶意方的有效资源怎么办。 OAuth 2.0 (RFC6749) give a solid example for this on bank account details.

针对客户端重定向 URI 的 CSRF 攻击允许攻击者 注入自己的授权码或访问令牌，可以 导致客户端使用与 攻击者的受保护资源而不是受害者的（例如，保存 受害者的银行账户信息到受保护的资源 由攻击者控制）。

State 参数可防止此类攻击。此外，欢迎您通过RFC6819 - Threat Model and Security Considerations。它包括在采用 OAuth 2.0 时可以采取的许多攻击向量和计数器测量。它还包括一个关于CSRF attack and usage of state 的部分。