安全性: Oauth和Mobile应用程序

Question

这就是我认为在移动应用程序中使用嵌入式webview与浏览器集成Oauth所涉及的安全问题。

Embedded Webview
* Keep UI for mobile app

 Security implications 
    * Makes phishing easy (especially since no address bar to show url and security)

Browser
* Different UI/Context switch (downsides)

Security - (good) :Less phishing ... can see url in address bar
(bad): Bad app can take over custom url scheme and have access to code.

是否有一种方法可以为移动oauth集成提供一个安全的移动解决方案？

Answer 1

您可以使用browser +PIN代码验证(oauth_callback=oob).它将成为半自动的，但将允许您避免创建“自定义url方案”。

例如，请参见这篇文章