OAuth 2.0授权框架安全漏洞与防护

1. 知识点描述

OAuth 2.0是一种授权框架，允许第三方应用在用户授权后有限访问其资源（如用户信息）。然而，若实现不当，可能导致授权码劫持、重定向URI伪造、访问令牌泄露等风险。常见攻击包括CSRF、开放重定向、令牌泄露利用等。

2. OAuth 2.0授权码流程核心步骤

1. 用户发起授权请求：第三方应用将用户重定向至授权服务器，携带参数：

   • client_id（应用标识）
   • redirect_uri（回调地址）
   • response_type=code（要求返回授权码）
   • scope（请求的权限范围）
   • state（防CSRF的随机值）

2. 用户认证与授权：用户在授权服务器登录并同意授权。

3. 返回授权码：授权服务器生成授权码，通过重定向发送至redirect_uri，附带state参数。

4. 交换访问令牌：第三方应用使用授权码、client_secret等向授权服务器请求访问令牌。

5. 访问资源：应用使用访问令牌调用API获取用户数据。

3. 常见安全漏洞与攻击场景

漏洞1：重定向URI未验证

• 问题：攻击者伪造redirect_uri参数，将授权码发送到恶意服务器。
• 攻击步骤：
  1. 构造恶意链接：https://auth-server.com/auth?client_id=123&redirect_uri=https://attacker.com
  2. 诱骗用户点击链接，授权后授权码发送至攻击者服务器。
  3. 攻击者用授权码换取访问令牌，窃取用户数据。
• 防护：
  • 服务器端严格校验redirect_uri是否与注册地址完全匹配（包括路径）。
  • 使用白名单机制限制重定向域名。

漏洞2：state参数缺失或无效

• 问题：缺少state参数或未校验其一致性，导致CSRF攻击。
• 攻击步骤：
  1. 攻击者构造授权链接并诱骗用户访问。
  2. 用户授权后，授权码被绑定到攻击者的令牌请求（而非用户实际使用的应用）。
  3. 攻击者通过授权码劫持用户会话。
• 防护：
  • 每次授权请求生成随机的state值，并绑定用户会话。
  • 回调时验证state是否匹配且未被重复使用。

漏洞3：授权码泄露风险

• 问题：授权码通过URL传输，可能被浏览器历史、日志等记录。
• 防护：
  • 使用PKCE（Proof Key for Code Exchange）扩展：客户端生成临时密钥code_verifier，其哈希值code_challenge在授权请求中发送，交换令牌时提交原始密钥供服务器验证。

漏洞4：客户端身份验证薄弱

• 问题：公共客户端（如移动端应用）无法安全存储client_secret，可能被逆向提取。
• 防护：
  • 对公共客户端使用PKCE替代client_secret。
  • 限制令牌生命周期，要求频繁重新授权。

4. 安全实践总结

1. 强制校验重定向URI：避免开放重定向。
2. 使用并验证state参数：防御CSRF。
3. 启用PKCE：保护授权码交换过程（尤其移动端）。
4. 限制令牌权限与生命周期：按需分配scope，设置短有效期。
5. 采用HTTPS全程加密：防止中间人攻击。
6. 监控异常授权请求：如频繁来源IP变化。

5. 漏洞验证示例（仅用于测试）

假设授权服务器未校验redirect_uri：

1. 注册应用时合法回调地址为https://app.com/callback。
2. 攻击者构造URL：

   https://auth-server.com/auth?  
   client_id=app_client&  
   redirect_uri=https://attacker.com/callback&  
   response_type=code&  
   state=random123  
   

3. 用户访问后，授权码泄露至attacker.com。

修复后：服务器拒绝非白名单的redirect_uri，返回错误。

通过以上步骤，可系统理解OAuth 2.0的安全机制与防护策略。