【发布时间】：2011-07-25 19:27:08
【问题描述】：
基于我提出的问题here，但我想从 stackoverflow 社区获得反馈。
从我使用带有 oauth 的 twitter API 的测试看来，应该由服务提供商 (twitter) 在http://oauth.net/core/diagram.png 的步骤 E 中完成的 oauth_verifier 检查不是由 api.twitter.com 完成的；无论 oauth_callback 是 oob 还是常规回调 url，都会发生这种情况。
在 twitter 上进行测试很简单：只是不要在步骤 F 中发送 oauth_verifier 参数来获取访问令牌。
这个问题应该很容易重现，但如果有必要我可以发布我的测试代码。
oauth_verifier 是会话固定威胁解决方案的一部分，仅在 oauth 1.0a 规范中引入。由于这个 twitter API 可能仍然不会强制应用程序开发人员使用它来避免破坏向后兼容性。
- 这是正确的吗？还是我误解了 oauth 规范？
- 其他应该符合 oauth1.0a 的 API 是否也会发生这种情况？ （领英等）
ps - This question 有点相关，但问题不再适用，因为 twitter 正在为两种类型的回调（oob 和常规回调）返回 oauth_verifier。
【问题讨论】：
标签： twitter-oauth