OAuth2.0安全设计之Authorization Code

（给ImportNew加星标，提高Java技能）

转自：bamb00

链接：www.cnblogs.com/goodhacker/p/14457014.html

OAuth 2.0 有 4 种认证流程：

https://open.weixin.qq.com/connect/qrconnect?appid=APPID&redirect_uri=REDIRECT_URI&response_type=code&scope=SCOPE&state=STATE#wechat_redirect

是否

必须

是

应用唯一标识（前面认证网页应用中获得）

是

重定向地址，需要进行UrlEncode（前面认证网页应用中获得）

是

填code

是

应用授权作用域，拥有多个作用域用逗号（,）分隔，网页应用目前仅填写snsapi_login即可

redirect_uri?code=CODE&state=STATE

redirect_uri?state=STATE

https://open.weixin.qq.com/connect/qrconnect?response_type=code&appid=wx2198c66352420194&redirect_uri=https%3A%2F%2Fpassform.test.com%2Fv3%2Fweb%2Flogin%2FwechatCallBack%3FisPc%3D1%26randomNum%3D%26redirect_uri%3Dhttps%253A%252F%252Fwww.test.com%252F%253Fopenid%253D33336839a7398ce8%26client_id%3D30&scope=snsapi_login&state=1614336736067

https://passform.test.com/v3/web/login/wechatCallBack?isPc=1&randomNum=&redirect_uri=https%3A%2F%2Fwww.test.com%2F%3Fopenid%3D33336839a7398ce8&client_id=30&code=053isZFa12PMAA0NVeGa1yR9300isZFe&state=1614336736067

https://api.weixin.qq.com/sns/oauth2/access_token?appid=APPID&secret=SECRET&code=CODE&grant_type=authorization_code

 
 

  
   
    
     
      
  

       
   grant_type
       
      
  
     
      
  

       授权类型，此值固定为“authorization_code”。
      
  
    
    
     
      
  

       
   client_id
       
      
  
     
      
  

       申请微信登录成功后，分配给网站的appid。
      
  
    
    
     
      
  

       
   client_secret
       
      
  
     
      
  

       申请微信登录成功后，分配给网站的appkey。
      
  
    
    
     
      
  

       
   code
       
      
  
     
      
  

       上一步返回的Authorization Code。
      
  
    
    
     
      
  

       
   redirect_uri
       
      
  
     
      
  

       与上面一步中传入的redirect_uri保持一致。
      
  
    
   
  
  返回说明
 
 

 
 

  正确的返回：
 
 
 
 

  
   
  

   
  

   
  

   
  

   
  

   
  

   
  

   
  

  
  
  
{    "access_token":"ACCESS_TOKEN",    "expires_in":7200,    "refresh_token":"REFRESH_TOKEN",    "openid":"OPENID",    "scope":"SCOPE",    "unionid": "o6_bmasdasdsad6_2sgVt7hMZOPfL"}
 
 
 
 

  
  参数说明：
 
 

 
 

  
   
    
     
      
  

       参数
      
  
     
      
  

       说明
      
  
    
   
   
    
     
      
  

       access_token
      
  
     
      
  

       接口调用凭证
      
  
    
    
     
      
  

       expires_in
      
  
     
      
  

       access_token接口调用凭证超时时间，单位（秒）
      
  
    
    
     
      
  

       refresh_token
      
  
     
      
  

       用户刷新access_token
      
  
    
    
     
      
  

       openid
      
  
     
      
  

       授权用户唯一标识
      
  
    
    
     
      
  

       scope
      
  
     
      
  

       用户授权的作用域，使用逗号（,）分隔
      
  
    
    
     
      
  

       unionid
      
  
     
      
  

       当且仅当该网站应用已获得该用户的userinfo授权时，才会出现该字段。
      
  
    
   
  
  错误返回样例：
 
 

 
 

  
   
  

  
  
  
{"errcode":40029,"errmsg":"invalid code"}
 
 
 
 

  第5步：使用Access Token以及OpenID来访问用户数据
 
 

 
 

  构造如下请求即可访问用户数据：
 
 
 
 

  
   
  

  
  
  
https://api.weixin.qq.com/sns/userinfo?access_token=ACCESS_TOKEN&openid=OPENID
 
 
 
 

  参数说明
  
  

 
 

 
 

  返回说明
 
 

 
 

  正确的Json返回结果：
 
 
 
 

  
   
  

   
  

   
  

   
  

   
  

   
  

   
  

   
  

   
  

   
  

   
  

   
  

   
  

   
  

  
  
  
{    "openid":"OPENID",    "nickname":"NICKNAME",    "sex":1,    "province":"PROVINCE",    "city":"CITY",    "country":"COUNTRY",    "headimgurl": "http://wx.qlogo.cn/mmopen/g3MonUZtNHkdmzicIlibx6iaFqAc56vxLSUfpb6n5WKSYVY0ChQKkiaJSgQ1dZuTOgvLLrhJbERQQ4eMsv84eavHiaiceqxibJxCfHe/0",    "privilege":[        "PRIVILEGE1",        "PRIVILEGE2"    ],    "unionid": " o6_bmasdasdsad6_2sgVt7hMZOPfL"}
 
 
 
 

  
  

 
 

 
 

  错误的Json返回示例:
 
 
 
 

  
   
  

   
  

   
  

  
  
  
{      "errcode":40003,"errmsg":"invalid openid"}
 
 
 
 

  
  三、常见不安全设计造成的风险
 
 

1. 先申请一个新的，专门用于攻击他人的账号；

2. 然后走正常流程，跳到微信上去登录此账号；

3. 登录成功之后，微信带着 code 回跳到第三方站点，如www.test.com，这个时候，攻击者拦截自己的请求让他不再往下进行，而直接将带 code 的链接发给受害者，并欺骗受害者点击；

4. 受害人点击链接之后，继续攻击者账号的登录流程，不知不觉登录了攻击者的账号

1. 攻击者依旧获取 code 并打算骗受害者点击

2. 受害者点击链接，但因服务器（比如 www.test.com）分配给受害者的设备的 state 值和链接里面的（分配给攻击者的）state 值不一样，服务器（test.com）直接返回验证 state 失败。

 
 

  https://cloud.tencent.com/developer/article/1447723
  
https://www.anquanke.com/post/id/98392
  
https://www.freebuf.com/articles/web/252254.html
  
https://xz.aliyun.com/t/2260
  
https://wooyun.js.org/drops/OAuth%202.0%E5%AE%89%E5%85%A8%E6%A1%88%E4%BE%8B%E5%9B%9E%E9%A1%BE.html
 
 

看完本文有收获？请转发分享给更多人

关注「ImportNew」，提升Java技能

好文章，我在看❤️

ImportNew

收藏 分享 链接