基于哈希片段的安全性如何工作？

Question

我正在学习OAuth 2.0,无法在隐式授权流程中获得保护访问令牌的方法.规范中有一些论文和一些看起来相互矛盾的SO答案.有人可以清理一下吗？来自SO答案和规范的引言令我感到困惑:

(来自规范)用于将访问令牌传递到客户端的重定向URI.可以向访问资源所有者的用户代理的资源所有者或其他应用程序公开访问令牌.
(来自规范)访问令牌凭证(以及任何机密访问令牌属性)必须在传输和存储中保密,并且仅在授权服务器,访问令牌有效的资源服务器以及与之对应的客户端之间共享.发出访问令牌.访问令牌凭证必须仅使用TLS传输.
(来自接受和赞成的回答)在隐式流中,访问令牌作为哈希片段传递,只有浏览器知道哈希片段.浏览器会将哈希片段直接传递到目标网页/重定向URI,即客户端的网页(哈希片段不是HTTP请求的一部分),因此您必须使用Javascript读取哈希片段.哈希片段不能被中间服务器/路由器拦截(这很重要).

我的问题:

P1表示通过重定向URI和P2传递给客户端的令牌表示传递通道必须是TLS编辑的.但是P3说哈希片段没有发送到网络.如果访问令牌没有发送,那么它是如何到达客户端的,因为它是哈希片段？无论如何,它必须通过网络发送不是吗？或者使用重定向URI发送令牌可以在没有网络交易的情

唯一可能的解释 - 在引擎盖下浏览器仅通过网络发送url的非哈希部分,并且在加载新页面之后,只需插入哈希片段并使其可用于JS.如果我是对的,我仍然无法理解为什么我们不使用可靠,安全的HTTPS通道作为响应参数发送令牌？

Answer 1

OAuth提供程序使用HTTP响应重定向将访问令牌发送回OAuth使用者:

HTTP/1.1 302 Found
Location: https://consumer.org/redirect_uri#access_token=1111-2222-3333-4444

请注意访问令牌是如何通过网络发送的,作为来自OAuth提供程序的HTTP响应的一部分,除了使用者之外,它还应该在HTTPS上.

然后,您的浏览器将对使用者端点执行新的HTTP GET请求:

GET /redirect_uri HTTP/1.1
Host: consumer.org

请注意如何通过网络将访问令牌发送给使用者.服务器consumer.org将不会在此HTTP请求中收到令牌.相反,返回的网页https://consumer.org/redirect_uri将包含能够并将从url片段读取访问令牌的javascript.

因此,您需要信任从consumer.org(通过使用HTTPS)收到的javascript代码,因为如果攻击者可以注入代码,它也可以间接获取访问令牌(并将其发送到任何地方).

来自消费者的HTTP响应示例:

200 OK
Content-Type: text/html

<html><head><script> 
    alert(window.location.hash) 
</script>
</head><body></body></html>

不，隐式授权流不适用于非 https 客户端，它适用于没有后端的客户端。没有将令牌作为请求参数发送的流程。与隐式授权流程相反，授权代码流程将 `code` 作为查询字符串参数提供给客户端后端。客户端后端然后用令牌交换代码（带有客户端凭据的经过身份验证的请求） (2认同)