的OAuth令牌安全

Question

據我所知，OAuth的標準是怎樣的OAuth真的應該表現得十分寬鬆，但...

我存儲在數據庫中的各種服務的OAuth OAuth訪問令牌。如果這些令牌受到損害，他們是否可以被第三方使用？也就是說，只有我的api和密鑰才能綁定給定的令牌嗎？

Answer 1

令牌與給定的服務和用戶綁定。有了這些，就可以假裝成爲那個用戶。 例如，它不受任何IP地址或設備UUID限制（儘管可以將其作爲額外的預防措施，但這不是OAuth的一部分）。

如果他們被破壞，你會取消他們的授權，從而使他們毫無價值。

它們可以與不同的API和密鑰一起使用嗎？

不可以。訪問令牌也綁定到他們發佈的應用程序。

這樣用戶可以按應用程序進行取消授權，並且每個應用程序都可以具有不同的權限集（例如只讀訪問權限）。