#security

标签「security」下的全部文章

token 到手之后：过期、刷新、撤销分别归谁管

OAuth 只定义怎么拿 token，不管它活多久。各家策略差到 GitHub OAuth App 的 token 默认永不过期；refresh 轮换会导致并发刷新互踩；本站的做法是丢 token 只留自签会话，代价写清楚了。

PKCE 只保护 code 从授权服务器回到客户端这一段，机制是一个不离开客户端的 code_verifier。写清它防什么、plain 为什么等于没有、它不替代 state 也不防钓鱼，以及什么条件下可以不上。

授权码流程的全部理由是让 token 不经过浏览器。拆开五步里每一步防的东西、state 防的是哪种 login CSRF、redirect_uri 为什么必须逐字一致，以及本站踩过的「登录了但后台还是未登录」的 cookie 落域问题。