OAuth 2.0「狀態」和OpenID「nonce」參數之間的區別？爲什麼國家不能重複使用？

Question

OAuth 2.0定義了客戶端請求發送的「狀態」參數，以防止跨站請求攻擊。在OpenID規範中也提到了「nonce」。除了在ID標記中返回「nonce」而不是查詢參數的事實之外，它們似乎具有完全相同的用途。如果有人可以解釋爲什麼他們是分開的

Answer 1

狀態和隨機數似乎是相似的。但是如果你深入挖掘，你會發現它們有不同的用途。

狀態是否有保護最終用戶免受跨站請求僞造（CSRF）攻擊。

RFC6749指出，

一旦授權被從最終用戶所獲得，所述 授權服務器的最終用戶的用戶代理重定向回 客戶端與包含在所需要的結合值「狀態」 參數。所述結合值使得客戶端通過匹配結合值到 用戶代理的認證狀態

來驗證該請求的有效性 ，這是用於授權請求。它使客戶能夠驗證授權響應沒有被改變。基本上它允許客戶交叉檢查授權請求和響應。

隨機數服務於不同的目的。它將令牌與客戶綁定。它用作令牌驗證參數。

隨機數 - 用於與ID令牌客戶端會話相關聯，並減輕重放攻擊的字符串值。該值從未經修改的身份驗證請求傳遞給ID令牌。如果存在於ID令牌中，則客戶端必須驗證該隨機的聲明值等於在認證請求中發送的隨機數參數的值。如果認證請求中存在，授權服務器必須在ID令牌中包含一個隨機數聲明，聲明值是在認證請求中發送的隨機數值。授權服務器應該對所使用的nonce值執行任何其他處理。 nonce值是區分大小寫的字符串

正如您所見，nonce值來自授權請求並由客戶端生成。如果包含nonce，它將出現在令牌中。因此，客戶端可以根據初始授權請求驗證其收到的令牌，從而確保令牌的有效性。

此外，根據流量類型，現時值可以是強制參數。隱式流和混合流授權值現時值值。