我們真的需要「oauth_nonce」嗎？

Question

好吧，我知道如何OAuth的作品，但我不知道爲什麼我們需要oauth_nonce。

規範說時間戳/臨時值必須是唯一的解決重放攻擊，但怎麼樣，如果consumer_key夠獨特之處？

如果consumer_key不是唯一的，它是如何找到相應oauth_nonce？

Answer 1

鍵是唯一的，但不經常更改。另一方面，隨機數需要在每個請求中都是唯一的。

請考慮以下情況。先決條件是：攻擊者可以監視你的通信，但不知道任何祕密。如果沒有隨機數，他可以進行重播攻擊：他可以簡單地複製並重發以前的任何請求，因爲他知道您已發送的請求是有效的。

隨機數可以防止這種情況，因爲服務器會檢查所有最近使用的隨機數（there is a time limit），並且不會接受任何隨機數兩次。