在GET URL中指定OAuth令牌

Question

我的REST服務使用OAuth 2.0身份驗證。我想使用瀏覽器測試一些GET URL（不使用客戶端）。我可以在URL中傳遞不記名標記嗎？ URL：www.example.com/employee/employeeId

Answer 1

你當然可以。

Ses臉譜網API。但請注意，由於用戶可能會將這些網址作爲電子郵件或郵件發送，因此不推薦這樣做。 Oauth 2.0規範寫道。

Answer 2

您可以將其傳遞給access_token查詢參數，請參閱https://tools.ietf.org/html/rfc6750#section-2.3，但正如在其他答案中指出的那樣，它不是傳遞令牌的首選方式。它可以在日誌中結束了，瀏覽器緩存等。在這種方法的規範說：

因爲與URI方法相關的安全弱點
（見第5章），包括高可能性URL
包含訪問令牌的 將被記錄，它不應該被使用
，除非不可能在「授權」請求頭字段或HTTP請求實體主體中傳輸訪問令牌。 資源服務器可以支持這種方法。

包含該方法以記錄當前的使用情況;它的使用是不
建議，由於其安全性的不足（見第5）和
還因爲它採用的是保留查詢參數的名稱，這是
櫃檯URI命名空間的最佳實踐，每次的「
世界建築Wide Web，Volume One「[W3C.REC-webarch-20041215]。

所以你應該知道資源服務器（或API）甚至可能不支持這種令牌傳遞方法。唯一強制實施的方法是授權標頭方法。