将 has_secure_password 的密码和密码确认设置为 oauth 令牌是否不安全？

Question

因此，目前我没有编写一堆代码来解决将 has_secure_password 与 OmniAuth 一起使用的问题，而是将密码和 password_confirmation 设置为在用户创建期间由 twitter/facebook/whatever 返回的 OAuth 令牌。我的问题是，这是非常不安全的吗？感觉就像是这样，但我不确定风险是什么。任何建议将不胜感激。

Answer 1

是的，它不安全。不要这样做，人们可能会窃取您的访问令牌和/或入侵您的帐户。