关于OAuth2.0 Authorization Code+PKCE flow在原生客户端(Native App)下集成的思考

7187ddb6014070c204c31c1371a226d0.png

Working with Proof Key for Code Exchange (PKCE) - DEV Community

写在前面

前几天看了园友的一篇文章被广泛使用的OAuth2.0的密码模式已经废了，放弃吧  被再次提起：Implicit Flow Password Grant，均已被标记为Legacy，且OAuth2.1里面已经删除了，目前OAuth2.1只剩三种flow：

  • Authorization Code+ PKCE

  • Client Credentials

  • Device Code

作为完美踩坑Implicit 和 Password 两种flow的人，有点感慨，特来发表下自己的愚见；

并带着以下问题：

  • 在SPA(单页面应用程序Vue等)中不再用Implicit flow，还能用什么？

  • 在Native App和小程序等Public Client中不再用Password flow，还能用什么？

Implicit 和 Password 的问题

以下均为个人理解，不保证全对

Implicit的问题

  • 1、比较容易泄露access_token(下文简称token), 比如有的开发者条件不允许，web 服务用http的协议直接上生产(正确是一定要用https)；

  • 2、token直接暴露在请求里，如果token权限不控制好的话用户能轻而易举调用不该有权限的接口；

解决方案：

改为用 ：Authorization Code + PKCE

Password的问题

园友已经说的很清楚了我总结下；

  • 1、最大的问题就是违背了委托授权的原则，比如我的Web服务用微信登录用的Password flow的话，那意思是需要在我的登录页面里面填写微信的账号和密码，这眼见的不可思议和不合理吧；

我个人看法：

虽然目前OAuth2最佳实践中已经明确要求不能使用这种模式，但是 原有已经使用是这种模式的自有App还是可以接着使用的 没有问题；因为自有App和自有授权中心没有需要授权，是一起的；

如果是新开发App呢，还是优先考虑：Authorization Code + PKCE，毕竟Password已经是过时的流程了；

思考Authorization Code+ PKCE在Native App使用的问题

先回顾Authorization code Flow

bff52eb0625bfd1b752774c5f7524dc7.png

（图来自）

回顾流程和请求

我这里是web服务，用的是SPA的客户端，授权服务用的是IdentityServer4；

假设授权服务是：https://localhost:44356/ 客户端是：https://localhost:44357/

  • A、先判断登录、未登录先引导用户去授权服务器授权（一般是打开授权方登录页面）；

判断登录

https://localhost:44356/connect/authorize?client_id=vuejs_code_client&redirect_uri=https%3A%2F%2Flocalhost%3A44357%2Fcallback.html&response_type=code&scope=openid%20profile%20dataEventRecords&state=10f308dbb5d54c01be3b97c495569e8c&code_challenge=gp1EWoH_KsIdL6sGyohEIR6815PcVmz05V_dYvPbafI&code_challenge_method=S256&response_mode=query

登录页面

https://localhost:44356/Account/Login?ReturnUrl=%2Fconnect%2Fauthorize%2Fcallback%3Fclient_id%3Dvuejs_code_client%26redirect_uri%3Dhttps%253A%252F%252Flocalhost%253A44357%252Fcallback.html%26response_type%3Dcode%26scope%3Dopenid%2520profile%2520dataEventRecords%26state%3D10f308dbb5d54c01be3b97c495569e8c%26code_challenge%3Dgp1EWoH_KsIdL6sGyohEIR6815PcVmz05V_dYvPbafI%26code_challenge_method%3DS256%26response_mode%3Dquery

  • C、登录成功返回Authorization code;

登录成功回调

https://localhost:44356/connect/authorize/callback?client_id=vuejs_code_client&redirect_uri=https%3A%2F%2Flocalhost%3A44357%2Fcallback.html&response_type=code&scope=openid%20profile%20dataEventRecords&state=10f308dbb5d54c01be3b97c495569e8c&code_challenge=gp1EWoH_KsIdL6sGyohEIR6815PcVmz05V_dYvPbafI&code_challenge_method=S256&response_mode=query

https://localhost:44357/callback.html?code=C0EF4B31E9F67481019DC51ED3F393264973027E0275644915314ED25F0F95B7&scope=openid%20profile%20dataEventRecords&state=10f308dbb5d54c01be3b97c495569e8c&session_state=j4dyIjlHucHYEHMrli0nBisCinR9Iq9gncp3khniF58.6A5CBF9592729E89570BE9FAC8A962DF

  • D、通过code去授权中心token endpoint换取token;

post 请求 https://localhost:44356/connect/token

ok，以上流程后拿到token后面的请求Resource Owner就没问题了。

Authorization code Flow在Native App中使用有何问题

首先是Authorization code流程里面的，code参数传递通过重定向的方式，在原生App里一般这样重定向一般有两种方式：

  • 1、是绑定URL Scheme通过类似app-name://?code=的方法把code传递给原生客户端；

  • 2、在本地起个HTTP服务器通过http://localhost:port/?code=的方法监听code

这两种方式都有被第三方恶意应用占用URL Scheme或者localhost端口截取code的风险。

另一个问题是，Authorization code code换取token的时候需要app_secret这些；

所以引出我们的PKCE流程；

Authorization Code**+ **PKCE在Native App中使用

cd8492e7ccb8c374292c5fd5b51289a7.png
img

PKCE在这篇文章里面已经讲得很清楚了，我简单总结下：

上文我们已经清楚，Authorization code(简称code)流程里面的，code传递给原生App的两种方式都不安全，那么引出PKCE的概念：

PKCE

全称Proof Key for Code Exchange，直译：用一个Proof key来做Code交换；

解决的问题是，既然你可以拦截我的Authorization code，那我再加一个我有，你没有的参数(等于是票据、验证凭据)做code交换条件就行；

PKCE步骤为：

  • 1、先随机生成一串字符串叫code_verifier；

  • 2、用code_challenge_method方法(sha256等)把code_verifier加密成code_challenge；

  • 3、把code_challenge和code_challenge_method来发起授权请求，生成关联这两项值的code;

  • 4、用code和code_verifier去换取token;

  • 5、授权服务器返回token，和refresh token(app这个很重要);

我们可以看到，因为我们的code已经关联code_challenge和code_challenge_method，即时攻击者拦截了也没用了，因为你没有code_verifier，你同样换不到token;；

最后，可以看到整个PKCE流程设计精妙，已经解决了Code传参问题；

总结

有了PKCE, 在Native App中使用Code传参的话直接用原先的方式：

  • 1、是绑定URL Scheme通过类似app-name://?code=的方法把code传递给原生客户端；

  • 2、在本地起个HTTP服务器通过http://localhost:port/?code=的方法监听code

传递code就行；

另外还有一种方式，直接在Native App里面嵌入Webview来传递，在携带code重定向这个步骤，拦截重定向url，获取code，换取token;

现在我看到很多App都是这样做的;

水完，over.

参考

https://www.cnblogs.com/felordcn/p/16011138.html

https://www.cnblogs.com/myshowtime/p/15555538.html

https://medium.com/oauth-2/why-you-should-stop-using-the-oauth-implicit-grant-2436ced1c926

99a04ba2aba8d5e300f828cb3839df5b.png

文章博客园地址请点击“阅读原文”

不给我点个赞再走吗~

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/289947.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【经典回放】多种语言系列数据结构算法：希尔排序（C/C#版）

【经典回放】多种语言系列数据结构算法：希尔排序（C/C#版）

原理：每隔sp（整数）个数即取数并判断大小，交换，先构造局部有序序列，直到sp为1，构造完整的有序序列。 给出一组数据，如下： 0 1 2 3 4 5 6 7 8 9 49 38 65 97 …
阅读更多...
【131天】尚学堂高淇Java300集视频精华笔记（65-66）

【131天】尚学堂高淇Java300集视频精华笔记（65-66）

第65集：常用类Date类的使用JDk源码分析 Date时间类（java.util.Date） 在标准Java类库中包含一个Date类。它的对象表示一个特定的瞬间，精确到毫秒。 Date()分配一个Date对象，并初始化此对象为当前的日期和时间精确到毫秒…
阅读更多...
ArcGIS 10.2加载在线影像底图

ArcGIS 10.2加载在线影像底图

两种方法： 一、File→ArcGIS Online→影像图→Open。 二、 效果：
阅读更多...
都说不要装箱，那装箱到底带来了什么开销?

都说不要装箱，那装箱到底带来了什么开销?

相信很有朋友在面试时大多会被问到 装箱 的问题，也是一个经典的问题，可深可浅，那今天我们就从 汇编 和 内存 角度进行统一解读下。为了方便演示，先上一段装箱的代码。class Program{static void Main(string[] args){var i 10;va…
阅读更多...
Java中方法的继承以及父类未被子类覆盖的方法调用的问题

Java中方法的继承以及父类未被子类覆盖的方法调用的问题

在看java继承这一块的时候发现了一个问题，即父类未被子类覆盖的方法是如何调用的？ 是子类拥有了父类的该方法只是没有显示表示，还是子类调用了父类的该方法。 为此做了一下验证 代码如下： public class One {protected void print…
阅读更多...
Excel VBA编程基础

Excel VBA编程基础

一、程序基本调试方法 1、VB程序的三种状态：设计时、运行时和中断模式。 2、但不执行代码，快捷键为F8。 3、中断程序的方法： （1）使用断点 （2）使用Debug.Assert （3）使用监视条件 二、Excel Shape对象
阅读更多...
分治算法之合并排序

分治算法之合并排序

1、问题 合并排序法是将两个（或两个以上）有序表合并成一个新的有序表，即把待排序序列分为若干个子序列，每个子序列是有序的。然后再把有序子序列合并为整体有序序列 2、思路 1、分解：将待排序元素分成大小大致相同的两个子序列 2、治理：对两个子序列进行合并排序 3、…
阅读更多...
WPF 实现截屏控件之移动（二）（仿微信）

WPF 实现截屏控件之移动（二）（仿微信）

WPF开发者QQ群此群已满340500857 &#xff0c;请加新群458041663由于微信群人数太多入群请添加小编微信号yanjinhuawechat 或 W_Feng_aiQ 邀请入群需备注WPF开发者 接着上一篇&#xff0c;兼容屏幕缩放问题。01—代码如下一、创建ScreenCut.xaml代码如下。<ResourceDictiona…
阅读更多...
深入剖析阿里云推荐引擎——新架构，新体验

深入剖析阿里云推荐引擎——新架构，新体验

摘要&#xff1a;本文的整理自2017云栖大会-上海峰会上阿里云算法专家郑重&#xff08;卢梭&#xff09;的分享讲义&#xff0c;从2016年2月V2.0公开使用到现在&#xff0c;阿里云推荐引擎有了更大的进步。有着获取排序的在线计算&#xff0c;修正匹配的近线计算及匹配排序的离…
阅读更多...
分治算法之快速排序

分治算法之快速排序

1、快速排序 通过一趟排序将要排序的数据分割成独立的两部分，其中一部分的所有数据都比另外一部分的所有数据都要小，然后再按此方法对这两部分数据分别进行快速排序 2、思路 ( 1 )分解:先从数列中取出一个元素作为基准元素。以基准元素为标准,将问题分解为两个子序列,使小于…
阅读更多...
SQL Server 2008空间数据应用系列三：SQL Server 2008空间数据类型

SQL Server 2008空间数据应用系列三：SQL Server 2008空间数据类型

SQL Server 2008空间数据应用系列三&#xff1a;SQL Server 2008空间数据类型 原文:SQL Server 2008空间数据应用系列三&#xff1a;SQL Server 2008空间数据类型友情提示&#xff0c;您阅读本篇博文的先决条件如下&#xff1a; 1、本文示例基于Microsoft SQL Server 2008 R2调…
阅读更多...
.NET 很好，你可能对它有一些误解

.NET 很好，你可能对它有一些误解

> 作者&#xff1a;Charles Chen在 20 年前的 2002 年, 微软公布了下一代的软件、服务的愿景和路线&#xff0c;2 月 13 日&#xff0c;Visual Studio .NET 推出&#xff0c;.NET 开发平台的第一个版本正式向世界发布。到现在为止&#xff0c;.NET 都已经 20 岁了, 它已经成…
阅读更多...
SQL语言实现金额小写转大写完整案例代码

SQL语言实现金额小写转大写完整案例代码

1. 数字大小写对照表 一到十数字大小写： 1——壹，2——贰，3——叁，4——肆，5——伍，6——陆，7——柒，8——捌，9——玖，10——拾 2. 大小写转换案例 将12.345元转换为大写 select dbo.L2U(12.345,1) select dbo.L2U(123456789.345,1) 结果： 3. SQL转化代码 CREA…
阅读更多...
盘点PHP编程常见失误

盘点PHP编程常见失误

为什么80%的码农都做不了架构师&#xff1f;>>> 变量声明 如果在一条语句中声明一个变量&#xff0c;如下所示&#xff1a;$varvalue;编译器首先会求出语句右半部分的值&#xff0c;恰恰正是语句的这一部分常常会引发错误。如果使用的语法不正确&#xff0c;就会出…
阅读更多...
Educational Codeforces Round 1

Educational Codeforces Round 1

被C坑的不行不行的。。。其他题目都还可以。 A - Tricky Sum 求1&#xff0c;2&#xff0c;3,...,n的加和&#xff0c;其中2^x&#xff08;x>0&#xff09;为负。 因为2^x的个数很少&#xff0c;所以以每个2^x为分界点进行判断. 初始化x0; 如果n>2^x,求出2^(x-1)到2^(x)之…
阅读更多...
甲骨文严查Java授权，企业连夜删除JDK

甲骨文严查Java授权，企业连夜删除JDK

文 | Travis出品 | OSC开源社区&#xff08;ID&#xff1a;oschina2013)根据外媒 The Register 报道和各大企业的反馈&#xff0c;甲骨文公司近日已经开始将 Java 纳入其软件许可审查中&#xff0c;目的是找出那些处于不合规边缘或已经违规的客户&#xff0c;甲骨文此举是为了推…
阅读更多...
前端日志分析

前端日志分析

前端日志分析介绍 前端日志分析是通过搜集访客访问网站的行为数据&#xff0c;然后在这些用户日志数据的基础上通过定量和定性分析&#xff0c;来改善用户的浏览体验及网站性能&#xff0c;最终提升商业回报的过程&#xff0c;通常&#xff0c;前端日志分析遵循以下步骤…
阅读更多...
zuul转发的一些常见异常

zuul转发的一些常见异常

为什么80%的码农都做不了架构师&#xff1f;>>> ##序 使用zuul作为api网关的话&#xff0c;经常会碰见一些异常&#xff0c;这里小结一下。 ##ZuulException 这个是最外层的异常 public class ZuulException extends Exception {public int nStatusCode;public Str…
阅读更多...
Xamarin效果第八篇之视频监控

Xamarin效果第八篇之视频监控

还记得全年帮助一个朋友通过技术手段写了一个PC端的监控软件,这不再次想起此事,准备基于Xamarin再来实现一个移动端的监控;毕竟直接手机上打开还是比较方便的;最终实现的效果:1、启动页动画,原来直接贴图片;这次尝试使用Lottie来玩玩,直接贴参考连接https://www.codesitory.com…
阅读更多...
前端实现连连看小游戏（1）

前端实现连连看小游戏（1）

博主玩了这么久的连连看&#xff0c;居然是第一次发现&#xff0c;连连看最多只能有2个转弯。orz… 在网上搜索连连看的连线算法判断&#xff0c;并没有找到很全面的&#xff0c;经过自己摸索之后&#xff0c;做了一些小动画&#xff0c;希望大家可以看一遍都懂啦&#xff5e;&…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023