可以窃取oAuth令牌

Question

假设我使用O-Auth进行应用程序的身份验证。假设我访问具有基于令牌的身份验证的API。作为身份验证关键的令牌落入黑客手中。黑客能够冒充真正的用户吗?

Answer 1

答案是肯定的。这就是为什么您的令牌应该是短暂的，最好不要使用刷新令牌。黑客有时会在令牌过期后得到它，所以它比用户名和密码要好得多。它仍然不是防弹的，你应该使用其他技术来阻止和监控可疑的请求，如监控和限制ip地址，阻止每秒太多的请求等。