用户名/密码和不记名令牌之间的区别是什么？

Question

根据 RFC-6750 一种安全令牌，具有任何拥有该令牌的一方（“持有者”）可以以任何其他拥有它的方可以（无需证明拥有一个加密密钥）。

• Q1) 这个定义是否也适用于用户名和密码，因为拥有用户名和密码的任何人都可以像任何其他方一样以相同的方式使用它（可能是窃取了用户名和密码）用户名和密码）拥有它可以？在这两种情况下（没有证明拥有 密钥）。是因为令牌已经包含权限吗？ 非常感谢

Answer 1

正如你所说，窃取它们的人都可以使用它们，但关于访问令牌的关键点是：

• 与密码不同，它们的寿命很短（约 60 分钟）
• 它们仅代表特定应用所需的用户权限的子集

窃取访问令牌

访问令牌也不容易被盗。攻击者可能能够为自己的登录获取访问令牌，但如果您的 UI 和 API 编码安全，那么这将不允许他们以任何方式提升他们的权限。

密码管理

密码被盗比令牌被盗严重得多，因为密码代表用户可以做的任何事情，可能跨越许多应用程序。

出于上述原因，OAuth 技术使密码无法进入应用程序。您的应用永远不会看到用户的密码，并且不对任何密码漏洞负责。

相反，密码由专业身份提供程序软件维护。最常见的公司插入低成本的云解决方案，其中密码管理由安全专家开发。