如何将 oAuth 2.0 客户端机密保密？

Question

我必须使用 oAuth 2.0 规范构建一个 API，并且我有不使用 HTTPS 协议的客户端。我的问题是用于获取授权码的客户端密码是否可以保密。如果我必须使用客户端密钥、客户端 ID 和授权代码作为参数向授权服务器发出请求，是否可以从该请求中窃取信息？使用授权码和客户端密码创建签名会有帮助吗？即使所有客户端都强制使用 HTTPS，这是否也是必需的？

Answer 1

RFC 6749 (OAuth 2.0)，3.1. Authorization Endpoint，第 4 段：

由于对授权端点的请求导致用户 身份验证和明文凭据的传输（在 HTTP 响应），授权服务器必须要求使用 TLS 如第 1.6 节中所述，将请求发送到 授权端点。

因此，客户端应用程序在访问授权端点时必须使用 TLS (https)。

仅供参考：如果客户端类型为“公共”且 OAuth 授权服务器未向客户端颁发客户端密码，则授权端点不需要客户端密码。仔细阅读 RFC 6749。