用於忘記密碼

Question

OAuth憑證撤回應該如果客戶經過一個忘記密碼的流動，改變他的密碼

Answer 1

一個原因更改密碼的OAuth憑證被撤銷是當用戶注意到別人不得不訪問他帳戶。在這種情況下，曾經訪問舊密碼並使用OAuth獲取訪問令牌的攻擊者仍然可以訪問該帳戶，儘管用戶更改了密碼以防止出現這種情況。

E.g.由於某些不明確的原因（弱密碼，特洛伊木馬等），您的GMail帳戶被黑客入侵併用於發送垃圾郵件。攻擊者使用Google's IMAP with OAuth feature並獲得有效的訪問令牌。現在不知何故，你注意到他們發送垃圾郵件的名字，你改變你的密碼。攻擊者仍然擁有有效的訪問令牌，並且可以繼續發送垃圾郵件。

撤銷令牌應該獨立於原因，爲什麼用戶更改他的密碼。如果他改變它，你應該撤消所有的令牌，並讓他再次註冊。