本篇先是介绍了授权码模式令牌被窃取的风险，接着介绍了PKCE如何降低令牌被窃取的风险的解决方案，然后介绍了如何使用S256算法生成code_verifier、code_challenge的例子，最后对PKCE中code_challenge_method=S256的类型进行了测试和效果展示。
原创
2023-08-01 18:48:04
2412阅读
点赞
2评论
目录一：Session监听器1：session种类简介2：session生命周期 （HttpSessionListener）2.1：创建：2.2：销毁2.3:session的创建和销毁以及活化、钝化的流程；3：session域中属性的变化（HttpSessioniAttributeListener）4：session钝化和活化监听器（HttpSessionActivationListener）5：
假设某一个原生客户端（即没有服务端的纯桌面应用程序、安卓、IOS等）需要接入第三方OAuth2.0的需求（code 授权码模式）。首先按照OAuth2.0授权码模式的标准，需要按如下顺序工作：这个客户端首先需要请求OAuth提供商的获取code的URL。服务提供商弹出登录页面。用户登录或确认授权。原生客户端截获服务提供商 redirect_uri 地址并获取code。原生客户端使用 code 调用服务提供商的接口换取 token。那么问题来了，第5步的时候，大家都知道使用 code 换取
原创
2021-09-01 09:09:53
1075阅读
假设某一个原生客户端（即没有服务端的纯桌面应用程序、
原创
2022-02-10 11:17:16
1170阅读
TCP通信在JDK中提供了两个类用于实现TCP程序，一个是ServerSocket类，用于表示服务器端，一个是Socket类，用于表示客户端。通信时，首先创建代表服务器端的ServerSocket对象，该对象相当于开启一个服务，并等待客户端的连接，然后创建代表客户端的Socket对象向服务器端发出连接请求，服务器端响应请求，两者建立连接开始通信。  
前言在微服务实战：基于Spring Cloud Gateway + AWS Cognito 的BFF案例一文中， 介绍了基于Amazon Cognito的OAuth授权码模式的认证流程。本文中，我们将研究可能针对此流程的恶意冲击及如何防止它们。你将了解如何使用状态随机数（state nonce）来防止可能的 CSRF冲击，以及 OAuth 推荐的用于防止重定向拦截的 PKCE（PR
原创
2021-12-08 20:34:01
488阅读
高级概述是这样的：
- 使用应用程序的客户端 ID、重定向 URL、状态和 PKCE 代码查询参数创建登录链接
- 用户看到授权提示并批准请求
- 使用授权码将用户重定向回应用程序的服务器
- 该应用程序交换访问令牌的授权代码
原创
精选
2023-04-21 08:07:07
214阅读
点赞
OAuth 2.0 标准的 RFC 比较难读懂，本文尽量把认证流程说明白。 认证方式 OAuth 2.0 共有 4 种访问模式： 授权码模式(Authorization Code)，适用于一般服务器端应用 简化模式(Implicit)，适用于纯网页端应用，不过现在推荐使用 PKCE 作为替代 模
转载
2020-09-25 14:56:00
263阅读
2评论
与单页应用程序一样，移动应用程序也无法维护客户机密。因此，移动应用程序还必须使用不需要客户端密码的 OAuth 流程。当前的最佳做法是将授权流程与 PKCE 一起使用，同时启动外部浏览器，以确保本机应用程序无法修改浏览器窗口或检查内容。
原创
精选
2023-04-23 08:20:26
271阅读
点赞
单页应用程序（也称为基于浏览器的应用程序）在从网页加载 JavaScript 和 HTML 源代码后完全在浏览器中运行。由于浏览器可以使用整个源代码，因此它们无法维护客户端机密的机密性，因此这些应用程序不使用机密。因为他们不能使用客户端密码，所以最好的选择是使用 PKCE 扩展来保护重定向中的授权代码。这类似于也不能使用客户端密码的移动应用程序的解决方案。
原创
精选
2023-04-22 13:55:46
217阅读
点赞
