被广泛使用的OAuth2.0的密码模式已经废了，放弃吧
toyiye 2024-09-16 06:06 3 浏览 0 评论
这是一个分享编程干货的技术博主，请多多关注，如果能点赞和支持就更好了。
最近一直有同学在问，OAuth2密码模式为啥Spring Security还没有实现，就连新的Spring Authorization Server也没有这个玩意儿。
其实这里可以告诉大家，OAuth2密码模式废了，OAuth2 安全指南相关的章节。以后新的OAuth2实现基本不太会可能积极去适配这个模式了。诸如Auth0、JIRA等知名产品都已经在产品中移除了该模式。用得好好的为什么要移除呢？胖哥找了一些资料，大致上有以下几点。
OAuth2是一个授权框架
OAuth2本身是一个授权框架，它并没有对用户的认证流程做出定义。它的初衷是解决不同服务之间的授权访问问题，它无法明确你认为正确的接收者就是那个接收者。目前只有OAuth2的扩展协议OIDC 1.0才具有用户认证功能。
密码模式更像一种兼容性的协议
密码模式诞生的时候，像React、Vue这种单页应用还没有兴起，甚至连框架都还没有呢。它更像是一种为了解决遗留问题而采用的过渡方案。在传统应用中，用户习惯了把密码直接交给客户端换取资源访问权限，而不是跳来跳去拉授权、确认授权。OAuth2诞生之时为了让用户从传统思维中慢慢转变过来就设计了这种模式。
这种模式好用，但它打破了委托授权的模式，降低了OAuth2的安全性。
它的流程非常像“网络钓鱼攻击”，想象一下应用程序随意地让你在一个平台的登录页面中输入另一个平台的密码，如果两个平台都是可信的，这样做也无可厚非。但是它真的可信吗？没人敢打包票。
对于安全而言，这扩大了密码暴露的面积，密码总是被提示小心保管避免泄露，这妥妥是一种反密码模式。用户密码可能有意无意就在这个链路中泄露出去了。而且用户无法控制授权的范围，虽然用户限制了scope，但是客户端程序依然提供了编程机会来打破用户的scope。如果在公共OAuth2客户端上使用密码模式，你的令牌端点也可能会被嗅探到，进而被暴力穷举。
因此在OAuth2最佳实践中已经明确要求不能使用这种模式，甚至在声明中用了MUST NOT BE这个字眼。
替代品是什么？
在OAuth2.1中，已经仅仅只有这三种
- Authorization Code+ PKCE 如果你需要安全授权请使用这种模式。
- Client Credentials 如果你的客户端需要同其它客户端进行资源交互请使用这种模式
- Device Code 如果你正在开发的IoT应用想使用OAuth2，可以考虑这种模式。
相比较而言，OAuth2.1更加注重安全性，目前正在起草阶段。
那如果我还是需要进行用户认证呢？目前只有OIDC 1.0可选了。所以各位同学，未来的方向应该明确了吧，密码模式是应该被放弃的时候了。
另外我正在编写最新的Spring Security OAuth2和Spring Authorization Server系列教程，敬请期待。
相关推荐
- 为何越来越多的编程语言使用JSON（为什么编程）
-
JSON是JavascriptObjectNotation的缩写，意思是Javascript对象表示法，是一种易于人类阅读和对编程友好的文本数据传递方法，是JavaScript语言规范定义的一个子...
- 何时在数据库中使用 JSON（数据库用json格式存储）
-
在本文中，您将了解何时应考虑将JSON数据类型添加到表中以及何时应避免使用它们。每天?分享?最新?软件?开发?，Devops，敏捷?，测试?以及?项目?管理?最新?，最热门?的?文章?，每天?花?...
- MySQL 从零开始:05 数据类型（mysql数据类型有哪些,并举例）
-
前面的讲解中已经接触到了表的创建，表的创建是对字段的声明，比如：上述语句声明了字段的名称、类型、所占空间、默认值和是否可以为空等信息。其中的int、varchar、char和decimal都...
- JSON对象花样进阶（json格式对象）
-
一、引言在现代Web开发中，JSON（JavaScriptObjectNotation）已经成为数据交换的标准格式。无论是从前端向后端发送数据，还是从后端接收数据，JSON都是不可或缺的一部分。...
- 深入理解 JSON 和 Form-data（json和formdata提交区别）
-
在讨论现代网络开发与API设计的语境下，理解客户端和服务器间如何有效且可靠地交换数据变得尤为关键。这里，特别值得关注的是两种主流数据格式：...
- JSON 语法（json 语法 priority）
-
JSON语法是JavaScript语法的子集。JSON语法规则JSON语法是JavaScript对象表示法语法的子集。数据在名称/值对中数据由逗号分隔花括号保存对象方括号保存数组JS...
- JSON语法详解（json的语法规则）
-
JSON语法规则JSON语法是JavaScript对象表示法语法的子集。数据在名称/值对中数据由逗号分隔大括号保存对象中括号保存数组注意：json的key是字符串,且必须是双引号，不能是单引号...
- MySQL JSON数据类型操作（mysql的json）
-
概述mysql自5.7.8版本开始，就支持了json结构的数据存储和查询，这表明了mysql也在不断的学习和增加nosql数据库的有点。但mysql毕竟是关系型数据库，在处理json这种非结构化的数据...
- JSON的数据模式（json数据格式示例）
-
像XML模式一样，JSON数据格式也有Schema，这是一个基于JSON格式的规范。JSON模式也以JSON格式编写。它用于验证JSON数据。JSON模式示例以下代码显示了基本的JSON模式。{"...
- 前端学习——JSON格式详解（后端json格式）
-
JSON(JavaScriptObjectNotation)是一种轻量级的数据交换格式。易于人阅读和编写。同时也易于机器解析和生成。它基于JavaScriptProgrammingLa...
- 什么是 JSON:详解 JSON 及其优势（什么叫json）
-
现在程序员还有谁不知道JSON吗？无论对于前端还是后端，JSON都是一种常见的数据格式。那么JSON到底是什么呢？JSON的定义...
- PostgreSQL JSON 类型:处理结构化数据
-
PostgreSQL提供JSON类型，以存储结构化数据。JSON是一种开放的数据格式，可用于存储各种类型的值。什么是JSON类型？JSON类型表示JSON(JavaScriptO...
- JavaScript:JSON、三种包装类（javascript 包）
-
JOSN:我们希望可以将一个对象在不同的语言中进行传递，以达到通信的目的，最佳方式就是将一个对象转换为字符串的形式JSON（JavaScriptObjectNotation）-JS的对象表示法...
- Python数据分析 只要1分钟 教你玩转JSON 全程干货
-
Json简介：Json，全名JavaScriptObjectNotation,JSON(JavaScriptObjectNotation(记号、标记))是一种轻量级的数据交换格式。它基于J...
- 比较一下JSON与XML两种数据格式?（json和xml哪个好）
-
JSON（JavaScriptObjectNotation）和XML（eXtensibleMarkupLanguage）是在日常开发中比较常用的两种数据格式，它们主要的作用就是用来进行数据的传...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- r语言矩阵 (127)
- browsererror (114)
- exportexcel (119)
- cv2.bitwise_not (137)
- dump命令 (128)
- es6concat (126)
- heapify (127)
- java.security.egd (130)
- javax.annotation (117)
- jsstringsplit (117)
- js数字 (115)
- maven编译 (132)
- mysqlleft (128)
- nodejsbuffer (149)
- org.apache.commons.httpclient (126)
- org.jsoup (141)
- org.springframework.web (128)
- robotframework-ride (115)
- setnocounton (141)
- socket.gethostbyname (122)
- sqlmid (121)
- time.strptime (133)
- vscode格式化 (125)
- win32con (129)
- window.localstorage (126)