雅虎oauth的強制身份驗證

Question

我正在編寫一個應用程序以使用OAuth從雅虎獲取一些信息。現在我想強制用戶輸入密碼，即使用戶在yahoo oauth頁面上有有效會話。我怎樣才能做到這一點？

Answer 1

據我所知，雅虎在他們的OAuth流程中沒有任何選項來迫使用戶在第二次授權認證之前登錄或驗證他們的密碼。但是，我已經試驗過這種攻擊手段，強制用戶在啓動OAuth流程之前退出其雅虎帳戶。

關鍵是要呈現一個隱藏iframe與雅虎註銷頁面：

<iframe src="https://login.yahoo.com/config/login?.src=fpctx&logout=1&.direct=1" style="display:none"></iframe>