差Vs HTTP URL OAuth的身份驗證回調

Question

據https://dev.twitter.com/docs/api/1/post/oauth/request_token，強烈建議您使用HTTPS所有OAuth授權步驟。但是，我發現回調網址並未遵循此建議。如果給出https回調url與給定的http回調url是否有區別？

例如，

Request URL: 
POST https://api.twitter.com/oauth/request_token 

Authorization Header: 
oauth_callback="http%3A%2F%2Fmyapp.com%3A3005%2Ftwitter%2Fprocess_callback", 

Answer 1

回調URL只需要在URL格式，OAuth規範並不要求它爲https。

特定的Oauth提供商（如SalesForce公司）做強制使用HTTPS。然而

大多數服務提供商只是強迫你註冊，你的回調URL，以便服務提供商可以驗證正確的回調URL使用您的消費鍵/密使用OAuth舞期間提供。

另外，Android中的移動應用程序可以創建特殊的協議處理程序，允許定義像「linkedin：// callback」這樣的回調處理程序（以讓Android應用程序處理linkedin oauth回調）。

在這種情況下強制https是沒有意義的，因爲它會迫使移動應用程序將oauth跳舞卸載到遠程服務器，在某些情況下，它完全可以接受在應用程序中執行它。

而且記住，磨片的訪問令牌被攻破，希望作擔保的API調用的人還需要獲得消費者鍵/消費者的祕密。