>

리디렉션에 사용되는 특정 자격 증명 공급자 대신 사용자에게 전자 메일 주소를 제출 한 다음 해당 전자 메일 주소로 인증 코드를 보내도록 요청하는 Oauth2 흐름을 구현할 수 있습니까? 액세스 토큰을 발급 받으려면 링크를 클릭 하시겠습니까?

이 시나리오에서 CSRF를 방지하기 위해 상태 매개 변수를 어떻게 사용합니까? 그리고이 디자인에 다른 보안 영향이 있습니까?


  • 답변 # 1

    맞춤 부여 유형 (예)으로 가능합니다. 번역 : 이것은 클라이언트와 권한 서버에 독점적 인 체계입니다. 많은 코드를 직접 작성하거나 위에 링크 된 것과 같은 상용 솔루션에 의존해야합니다. 고객은이 흐름을 이해해야합니다. 따라서 oAuth 호환 앱을 사용할 수 없으며이 방식으로 작동 할 것으로 기대합니다.

    더 나은 옵션은 이메일을 통하지 않고 추가 인증 요소의 사용자 입력을 요구하지 않는 것입니다. 대신 잘 정의 된 위협 모델과 함께 표준 보조금 유형 중 하나를 사용하십시오. 권장 사항 : PKCE 확장자를 가진 인증 코드 부여 유형. CSRF 및 기타 여러 위협 요소를 처리합니다. 자세한 내용은 oAuth 보안 모범 사례 (BCP)를 참조하십시오.

    또는 oAuth 흐름이 완료된 후 이메일 기반 확인 루틴을 수행 할 수 있습니다.

  • 이전 python - ASCII를 사용하여 문자열에 13을 추가하십시오 (! @> 및 공백과 같은 다른 문자는 그대로 두십시오)
  • 다음 reactjs - 본문없이 가져 오기 및 본문없이 가져 오기 (반응, 표현)