问基于JavaScript的OAuth 2.0有多安全？
EN

Security用户

提问于 2014-04-19 18:33:52

回答 1查看 584关注 0票数 4

基于JavaScript的OAuth公开应用程序的客户端ID，并且它只信任请求访问令牌的域。域名可以通过DNS劫持(或影响/etc/hosts的病毒)伪造。那么，为什么JavaScript为不使用HTTPS的客户提供基于OAuth的支持？还是我漏掉了什么？

发布于 2014-04-19 20:58:41

HTTPS 2.0非常需要HTTPS，因为它没有任何使令牌安全的方法。所以，如果谷歌和facebook真的允许你在普通的HTTP上使用OAuth2，那是很糟糕的。你确定是这样吗？我以为它们都是https--只是有相当一段时间了。

另一方面，OAuth1在普通HTTP上工作得很好，因为它有自己的一层安全数字签名

票数 1

页面原文内容由Security提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://security.stackexchange.com/questions/56211

复制

相似问题

问基于JavaScript的OAuth 2.0有多安全？EN