我一直在网上搜索答案，但找不到明确的答案。
由于我不太了解 CSRF 攻击，并且 OAuth 2.0 中的 state 参数是为了避免这种攻击，我只是想知道是否需要在客户端生成 state 参数并将值放在本地存储或后端服务器，然后将其存储到会话变量中，然后我返回到客户端以创建我的 URL。第一个解决方案似乎是最好的，但它安全吗？
非常感谢任何帮助。
【问题讨论】：
标签： oauth-2.0 google-signin openid-connect
更多关于state参数可以从this answer找到。
在哪里生成状态以及在哪里存储取决于您的应用程序的性质。无论客户端类型如何，客户端必须做的是验证授权码响应中的状态参数。
对于不包含后端的单页应用程序，必须生成状态并将其存储在浏览器本身中。一旦响应到达，就必须比较状态值。
对于本机应用程序（例如：移动应用程序），状态可以存储在应用程序内存中。它可以附加在授权请求中。当响应到来时，可以从内存中验证它
如果应用程序需要，可以将状态存储在后端（例如：服务器）。这可以被认为更安全（与 SPA 相比），因为除了请求本身之外没有人可以拦截/获取值。一旦发生重定向，后端可以验证响应参数。此外，它还可用于关联客户端会话。
此外，窃取状态值仅对试图进行 CSRF 攻击的一方有价值。但请注意生成无法猜测的状态值。进一步阅读存储 - 3.6. "state" Parameter
【讨论】：