为什么 OAuth2 规范没有为隐式流定义 JSON 响应模式？

Question

我想知道为什么 OAuth2 规范没有定义 JSON 响应模式来在隐式授权流中返回访问令牌。 是因为没有时间对此达成一致并指定它吗？或者以 JSON 格式返回访问令牌是否会打开某些安全漏洞？如果是这样，知道哪个会很有趣（我怀疑可以通过验证请求的 ContentType 或 RequestedWith 标头来缓解将 JSON 返回到恶意脚本标签中）。

有大量现代 javascript 应用程序需要刷新访问令牌。当受保护资源的权限经常更改时（例如，当某些用户向其他用户授予他们拥有的资源的权限时）通常需要这样做。在这种情况下，每次访问受保护的资源时都需要获取访问令牌。

目前 OAuth2 规范提供了 2 种响应模式：片段和表单发布（在草稿中）。 片段响应需要一个对用户不友好的重定向。也可以将带有方法 GET 的表单发布到隐藏的 iframe 中，该 iframe 将回调将访问令牌传递给父窗口的 javascript 代码。但从开发的角度来看，这是相当骇人听闻的方法。

通过 AJAX 请求以 JSON 格式返回访问令牌会更简洁，因为它不会损害安全性。

Answer 1

重定向对于确保将访问令牌传递给 RP 而不是隐式流中的攻击者至关重要。

如果 Stack Overflow 有一个带有 OAuth2 Implicit Grant 的 REST API，它以某种 JSON 格式返回令牌，那么我所要做的就是欺骗您访问我的一个网页，然后假装是官方 Stack Overflow客户端通过您的会话请求访问令牌（因为您可能已登录）。

SO 服务器将使用您的访问令牌返回（通过 CORS）一些 JSON 给我，然后我可以冒充您，而您不会更聪明。

既然无论如何您都必须进行重定向，可以在 JSON 令牌中添加参数并将其添加到查询参数中。 但是，如果您已经需要进行查询/片段解析，您不妨从查询/片段中获取参数，而不是强制客户端进行 JSON 解析。