我在这个主题中搜索了其他问题,但没有找到确切的答案。所以如果我错了,请告诉我。
我是新手,你可以很愉快地纠正我。以下是我目前的想法:
我现在在网上冲浪了两天,了解授权Web请求的实际状态。现在我很快就发现OAuth 2.0似乎是最常见的标准。但OAuth 2.0本身与标准化相去甚远。在我的视野中,这是每个大公司不同自定义的混乱局面。但无论如何,有两种技术用于交换授权信息:Mac-Tokens和Bearer-Tokens。
在我看来,Mac-Tokens提供更多的安全性。那么为什么它没有被广泛实现呢?我唯一能找到的原因是因为它有点更加复杂。我听到过许多次人们说,如果客户端不是100%可信的话,就不建议使用Mac-Tokens,因为客户端必须存储密钥。但是区别在哪里呢?客户端无论如何都必须存储授权信息。在我看来,无论是bearer-token还是mac-secret都没有关系。但是差异在于mac-secret(而不是bearer-token)不会在每个请求上通过网络提交。
那么,除了需要付出一些努力之外,您能告诉我为什么不使用Mac-Tokens的明智理由吗?我有什么遗漏吗?还是我误解了这两种令牌技术。
谢谢阅读和您的帮助。
在我看来,Mac-Tokens提供更多的安全性。那么为什么它没有被广泛实现呢?我唯一能找到的原因是因为它有点更加复杂。我听到过许多次人们说,如果客户端不是100%可信的话,就不建议使用Mac-Tokens,因为客户端必须存储密钥。但是区别在哪里呢?客户端无论如何都必须存储授权信息。在我看来,无论是bearer-token还是mac-secret都没有关系。但是差异在于mac-secret(而不是bearer-token)不会在每个请求上通过网络提交。
那么,除了需要付出一些努力之外,您能告诉我为什么不使用Mac-Tokens的明智理由吗?我有什么遗漏吗?还是我误解了这两种令牌技术。
谢谢阅读和您的帮助。
mac_key
参数,该参数仅存在于MAC令牌中,并且是真正的秘密。请参阅MAC令牌规范。 - Akaisteph7access_token
是其真正的密钥,并且将直接发送请求中(参见示例)。因此,从技术上讲,MAC 令牌更安全,但在仅通过强制执行 SSL/TLS 协议的连接发送时,两者才能真正保证安全。而且,在使用 SSL/TLS 时,它们在安全性方面基本上是等效的。 - Akaisteph7