不使用URL中的參數發送訪問令牌

Question

我正在開發一個使用Codeigniter和Oauth2（Alex Bilbies庫）的API。 API正在被我的iPhone應用程序使用。對於每個請求，我需要將訪問令牌作爲URL中的參數發送。有沒有辦法在標題中發送令牌？爲了避免它「暴露」？

感謝您的所有意見！

Answer 1

通過GET發送訪問令牌與在頭中發送訪問令牌一樣不安全。

OAuth 1用於解決這一切與各種加密，安全的密碼，你甚至可以打開認證。這完全是一個巨大的痛苦，所以現在在OAuth 2中，您只需使用HTTPS即可爲您完成所有這些工作。

Answer 2

的OAuth 2.0令牌承載允許你插入它們在HTTP授權頭如下：

POST /my/api HTTP/1.1 
Host: rs.company.com 
Authorization: Bearer abcdef123456 

哪裏abcdef123456是你的訪問令牌（參見：http://tools.ietf.org/html/draft-ietf-oauth-v2-bearer-16#section-2.1）。事實上，規範說如果可能的話，你應該這樣做來代替請求參數。

該規範使用OAuth 2.0令牌承載時，還介紹了許多安全方面的考慮（見：http://tools.ietf.org/html/draft-ietf-oauth-v2-bearer-16#section-4）