在Wordpress Plugin中使用OAuth

Question

從我讀過的任何地方，我留下的印象是將開發源代碼中的消費者密鑰存儲起來是一個壞主意。所以，我在另一個web服務器上設置了一個外部代理來處理請求和訪問令牌。

因此，一旦我從提供程序接收到訪問令牌和密鑰，我應該將這些令牌保存在外部網絡服務器上，並且每次請求都輪詢Web服務器？或者，我是否應該將這些令牌返回給用戶的Wordpress安裝，插件將其保存到用戶的數據庫中？

謝謝！

Answer 1

將它們保存到用戶的wordpress安裝中，無論如何都需要在代理/中繼端點上具有某種標識符，以標識具有您保存在您終端上的訪問令牌的插件。

如果訪問令牌應該從用戶的wordpress泄漏出來，它仍然是不可用的，如果沒有消費者密鑰，無論如何您都會保持安全。然而，存在泄漏的訪問令牌被用於通過您的中繼端點進行認證請求的風險。但是你會遇到與另一種識別機制相同的情況。

如果你真的想玩它安全，你可以在wordpress安裝和你的中繼服務之間實現一個簡單的密碼層。例如說一個訪問令牌參數的SHA1哈希值，URL，一個時間戳，以及另一個安裝特定的祕密鹽。這至少會阻止丟失的訪問令牌直接與您的中繼端點一起使用。然後，我可以看到的唯一攻擊矢量是wordpress DB本身受到損害。