Recently Updated Pages
10.15. 自由重定向器(10.15. Open Redirectors)
10.15. 自由重定向器 授权服务器、授权端点和客户端重定向端点可能被不当配置，被作为自由重定向器。自由重定向器是一个使用参数自动地向参数值指定而无任何验证的地址重定向用户代理的端点。 自...
10.14. 代码注入和输入验证(10.14. Code Injection and Input Validation)
10.14. 代码注入和输入验证 代码注入攻击当程序使用的输入或其他外部变量未清洗而导致对程序逻辑的修改时发生。 这可能允许攻击者对应用程序的设备或它的数据的访问权限，导致服务拒绝或引入许多的...
10.13. 点击劫持(10.13. Clickjacking)
10.13. 点击劫持 在点击劫持攻击中，攻击者注册一个合法客户端然后构造一个恶意站点，在一个透明的覆盖在一组虚假按钮上面的嵌入框架中加载授权服务器的授权端点Web页面，这些按钮被精心构造恰好...
10.12. 跨站请求伪造(10.12. Cross-Site Request Forgery)
10.12. 跨站请求伪造 跨站请求伪造（CSRF）是一种漏洞利用，攻击者致使受害的最终用户按恶意URI（例如以误导的链接、图片或重定向提供给用户代理）到达受信任的服务器（通常由存在有效的会话...
10.11. 钓鱼攻击(10.11. Phishing Attacks)
10.11. 钓鱼攻击 本协议或类似协议的广泛部署，可能导致最终用户变成习惯于被重定向到要求输入他们的密码的网站的做法。 如果最终用户在输入他们的凭据前不注意辨别这些网站的真伪，这将使攻击者...
10.10. 凭据猜测攻击(10.10. Credentials-Guessing Attacks)
10.10. 凭据猜测攻击 授权服务器必须防止攻击者猜测访问令牌、授权码、刷新令牌、资源所有者密码和客户端凭据。 攻击者猜测已生成令牌（和其它不打算被最终用户掌握的凭据）的概率必须小于或等于...
10.9. 确保端点真实性(10.9. Ensuring Endpoint Authenticity)
10.9. 确保端点真实性 为了防止中间人攻击，授权服务器必须对任何被发送到授权和令牌端点的请求要求RFC2818中定义的具有服务器身份验证的TLS 的使用。客户端必须按RFC6125定义且按...
10.8. 请求机密性(10.8. Request Confidentiality)
10.8. 请求机密性 访问令牌、刷新令牌、资源所有者密码和客户端凭据不能以明文传输。授权码不应该以明文传输。 “state”和“scope”参数不应该包含敏感的客户端或资源所有者的纯文本信...
10.7. 资源所有者密码凭据(10.7. Resource Owner Password Credentials)
10.7. 资源所有者密码凭据 资源所有者密码凭据许可类型通常用于遗留或迁移原因。它降低了由客户端存储用户名和密码的整体风险，但并没有消除泄露高度特权的凭证给客户端的需求。 这种许可类型比其...
10.6. 授权码重定向URI伪造(10.6. Authorization Code Redirection URI Manipulation)
10.6. 授权码重定向URI伪造 当使用授权码许可类型请求授权时，客户端可以通过“redirect_uri”参数指定重定向URI。 如果攻击者能够伪造重定向URI的值，这可能导致授权服务器向...
10.5. 授权码(10.5. Authorization Codes)
10.5. 授权码 授权码的传输应该建立在安全通道上，客户端应该要求在它的重定向URI上使用TLS，若该URI指示了一个网络资源。 由于授权码由用户代理重定向传输，它们可能潜在地通过用户代理历...
10.4. 刷新令牌(10.4. Refresh Tokens)
10.4. 刷新令牌 授权服务器可以给Web应用客户端和本机应用程序客户端颁发刷新令牌。 刷新令牌在传输和储存时必须保持机密性，并只与授权服务器和刷新令牌被颁发的客户端共享。授权服务器必须维...
10.3. 访问令牌(10.3. Access Tokens)
10.3. 访问令牌 访问令牌凭据（以及任何机密的访问令牌属性）在传输和储存时必须保持机密性，并只与授权服务器、访问令牌生效的资源服务器和访问令牌被颁发的客户端共享。访问令牌凭据必须只能使用带...
10.2. 客户端仿冒(10.2. Client Impersonation)
10.2. 客户端仿冒 如果被仿冒的客户端不能，或无法保持其客户端凭据保密。恶意客户端可能冒充其他客户端，并获得对受保护资源的访问权限。 授权服务器任何可能的时候必须验证客户端身份。如果授权...
10.1. 客户端身份验证(10.1. Client Authentication)
10.1. 客户端身份验证 授权服务器为进行客户端身份验证的目的，为Web应用客户端创建客户端凭据。授权服务器被鼓励考虑比客户端密码更强的客户端身份验证手段。Web应用程序客户端必须确保客户端...
10.安全考量(10. Security Considerations)
10.安全考量 作为一个灵活的可扩展的框架，OAuth的安全性考量依赖于许多因素。 以下小节提为实现者提供了聚焦在2.1节所述的三种客户端配置上的安全指南：Web应用、基于用户代理的应用和本地...
9.本机应用程序(9. Native Applications)
本机应用程序是安装和执行在资源所有者使用的设备上的客户端（例如，桌面程序，本机移动应用）。本机应用程序需要关于安全、平台能力和整体最终用户体验的特别注意事项。 授权端点需要在客户端和资源所有者...
8.5. 定义其他错误代码(8.5. Defining Additional Error Codes)
8.5. 定义其他错误代码 在协议扩展（例如，访问令牌类型、扩展参数或扩展许可类型等）需要其他错误代码用于授权码许可错误响应（4.1.2.1节）、隐式许可错误响应（4.2.2.1节）、令牌错误...
8.4. 定义新的授权端点响应类型(8.4. Defining New Authorization Endpoint Response Types)
8.4. 定义新的授权端点响应类型 用于授权端点的新的响应类型按照11.3节中的过程在授权端点响应类型注册表中定义和注册。响应类型名称必须符合response-type ABNF。 re...
8.3. 定义新的授权许可类型(8.3. Defining New Authorization Grant Types)
8.3. 定义新的授权许可类型 新的授权许可类型可以通过赋予它们一个“grant_type”参数使用的唯一的绝对URI来定义。如果扩展许可类型需要其他令牌端点参数，它们必须如11.2节所述在O...