混淆 Laravel 护照 API 安全性的工作原理

Question

客户端向服务器发送用户名和密码。

服务器然后检查此用户是否已通过身份验证。

如果是，则服务器为客户端返回一个访问令牌...

然后用户可以使用此访问令牌访问受保护的资源...

这里的好处是，我们不是通过 API 调用发送用户信息，并且访问令牌不会持续很长时间，因此黑客将无法找到用户身份验证信息（用户名和密码），如果他发现了，访问令牌将不会持续足够长的时间来做任何事情。

这就是我对 Laravel 护照 API 安全性的理解。

这里令人困惑的是，在第一次 API 调用时，用户必须发送用户名和密码，所以黑客仍然有很大的机会找出用户信息！！！

我知道我的理解有问题，这就是我感到困惑的原因，非常感谢任何解释。

Answer 1

必须有办法向授权服务器证明你的身份，一种办法是提供用户名和密码。只要它使用 HTTP，您将在授权服务器和客户端应用程序之间实现通信的方式完全取决于您。如RFC-6749中所述：

本规范设计用于 HTTP ([RFC2616])。这 通过 HTTP 以外的任何协议使用 OAuth 超出范围。

当然，我们总是建议尽可能使用 HTTPS。仅仅因为文档中提到了HTTP，并不意味着HTTPS不能使用，因为HTTPS只是HTTP的加密版本。

我想提到的另一件事是，您不需要提供 用户名 和 密码，您可以使用多种授权类型，例如，代替username 和 password 您可以提供 client_id 和 client_secret 用于 Client Credentials授权类型。

如果您是新手，我相信这一切都会让您感到困惑。总结一下 OAuth2 的目的（据我所知）是：

• 将客户端角色（可以是浏览器、移动设备等）与资源所有者（通常是帐户所有者）分开。为什么？因为如果没有分离，客户端就可以访问用户的敏感数据。
• 假设第一个点对于通信来说足够安全。但是，如果有人掌握了您的会话，会发生什么？他们可以访问所有人！这就是 OAuth 引入范围的原因，根据范围，用户提供的 访问令牌 对资源的访问是有限的。范围可以读取、写入、共享等 - 此实现由开发人员决定。因此，如果有人拿到了您的访问令牌，由于范围的原因，他们只能有限地访问资源。

这些是我的原因之一，而RFC-6749 有更好的解释：

• 需要第三方应用程序来存储资源 所有者的凭据以供将来使用，通常是密码 明文。
• 服务器需要支持密码验证，尽管 密码中固有的安全漏洞。
• 第三方应用程序获得对资源的过度访问权限 所有者的受保护资源，使资源所有者没有任何 限制持续时间或访问有限子集的能力 资源。
• 资源所有者不能撤销对单个第三方的访问权限 无需撤销对所有第三方的访问权限，并且必须通过 更改第三方密码。
• 泄露任何第三方应用程序都会导致泄露 最终用户的密码以及受该密码保护的所有数据 密码。

要了解有关 OAuth2 的更多信息，它的授权类型和用途，我建议您阅读以下内容：

1. An Introduction to OAuth 2
2. 提到了RFC-6749，尽管它可能因为技术写作而难以阅读。

希望我至少澄清了一小部分模糊之处。