OAuth2資源所有者密碼流安全

Question

使用OAuth2資源所有者密碼流時，不需要客戶端ID和密碼。因此，阻止另一個第三方應用程序僅僅詢問用戶的用戶名/密碼組合並使用相同的流程是什麼？

Answer 1

恕我直言，RFC 6749（OAuth 2.0）和RFC 6819（OAuth 2.0安全性）在令牌端點包含客戶端身份驗證的輕微矛盾。我個人的結論如下。

授權服務器不應該要求公衆客戶端發送的客戶端憑證令牌端點，但實現不禁要求公共客戶端發送的客戶端ID任何grant_type是（如果implmentations要支持refresh_token）。

如果我不得不實施令牌端點資源所有者密碼憑據格蘭特，我會要求每個客戶端發送它的客戶端ID雖然規格不要求未發出客戶端機密在被認證公共機構提供服務資源所有者密碼憑證授權中的令牌端點。