# OAuth 安全反模式 **严重性：** 高 ## 总结 OAuth 2.0/OIDC 流程很复杂并且很容易配置错误。严重错误：未能实现和验证“state”参数。此参数可防御 OAuth 流程期间的 CSRF 攻击。丢失或可预测的“状态”允许攻击者诱骗受害者登录攻击者的帐户，从而实现帐户接管。 ## 反模式反模式是在没有“状态”参数的情况下启动 OAuth 流，或者使用未在回调中验证的可预测值。 ### 错误代码示例 # 漏洞：OAuth 流程在没有“state”参数的情况下启动。从烧瓶导入请求，重定向 OAUTH_PROVIDER_URL = "https://provider.com/auth" CLIENT_ID =“我的客户 ID” CALLBACK_URL =“https://myapp.com/callback” @app.route(“/登录/提供商”) def oauth_login(): # 将用户重定向到 OAuth 提供商。 # 缺陷：没有“state”参数来防止 CSRF。 auth_url = (f"{OAUTH_PROVIDER_URL}?client_id={CLIENT_ID}" f"&redirect_uri={CALLBACK_URL}&response_type=code") 返回重定向（auth_url） @app.route("/回调") def oauth_callback(): # 用户从提供商重定向回来。 # 无法验证回调是否对应于用户启动的流程。 auth_code = request.args.get("代码") # 用代码交换令牌，让用户登录。 # 攻击者可以将受害者的会话链接到攻击者的帐户。 access_token = Exchange_code_for_token(auth_code) log_user_in（访问令牌）返回“登录成功！” **攻击：** 1. 攻击者使用自己的帐户发起OAuth流程 2. 提供商重定向到 `https://myapp.com/callback?code=ATTACKER_CODE` 3. 攻击者拦截并暂停请求 4.攻击者诱骗受害者访问恶意回调URL 5. `myapp.com` 将受害者的会话与攻击者的帐户关联起来 ### 好的代码示例 # 安全：生成一个独特的、不可预测的“状态”，将其存储在会话中，并在回调时进行验证。从烧瓶导入请求、重定向、会话导入秘密 @app.route("/login/provider/secure") def oauth_login_secure(): # 1. 生成加密随机“状态”。状态 = Secrets.token_urlsafe(32) # 2. 存储在用户的会话中。会话['oauth_state'] = 状态 auth_url = (f"{OAUTH_PROVIDER_URL}?client_id={CLIENT_ID}" f"&redirect_uri={CALLBACK_URL}&response_type=code" f"&state={state}") # 3. 将状态发送给提供者。返回重定向（auth_url） @app.route("/callback/secure") def oauth_callback_secure(): # 4. Provider 在回调中返回 `state`。 receive_state = request.args.get("状态") auth_code = request.args.get("代码") # 5. 关键：验证返回的状态是否与会话状态匹配。 store_state = session.pop('oauth_state', 无) 如果stored_state为None或不是secrets.compare_digest（stored_state，received_state）： return "状态参数无效。检测到 CSRF 攻击。", 403 # 状态有效，可以安全继续。 access_token = Exchange_code_for_token(auth_code) log_user_in（访问令牌）返回“登录成功！” ## 检测 * **跟踪 OAuth 流程：** 从应用程序重定向到 OAuth 提供商的点开始。 * 是否正在生成“state”参数？ * 它在密码学上是随机的且不可预测的吗？ * **检查回调端点：** * 它是否从传入请求中检索“状态”？ * 是否将其与重定向之前存储在用户会话中的值进行比较？ * 比较是否在恒定时间内完成（`hmac.compare_digest`）以防止定时攻击？ * 状态值是一次性使用的（即在检查后从会话中删除）吗？ ## 预防 * **始终使用`state`参数：** 所有 OAuth/OIDC 授权请求中都需要。 * **生成加密随机`状态`：** 至少 32 个字符。切勿使用可预测的值（用户 ID、时间戳）。 * **绑定到会话：** 在重定向之前将 `state` 存储在会话 cookie 中。 * **严格验证回调：** 将请求“状态”与会话值进行比较。拒绝不匹配。 * **设为一次性使用：** 验证后从会话中删除以防止重放攻击。 * **对公共客户端使用 PKCE：** 除了“状态”之外，SPA 和移动应用程序还需要 PKCE（代码交换证明密钥）。 ## 相关安全模式和反模式 * [会话固定反模式]()：成功的 OAuth CSRF 攻击是会话固定的一种形式。 * [随机性不足反模式]()：“state”参数必须使用加密安全随机数生成器生成。 * [缺少身份验证反模式]()：OAuth 是一种身份验证形式，必须正确实现其流程才能确保安全。 ## 参考文献 * [OWASP Top 10 A07:2025 - 身份验证失败]() * [OWASP GenAI LLM06:2025 - 过度代理]() * [OWASP API 安全 API2:2023 - 身份验证失效]() * [OWASP OAuth 备忘单]() * [CWE-352：跨站请求伪造]() * [CAPEC-103：点击劫持]() * [PortSwigger：Oauth]() * [OAuth 2.0 安全最佳实践]() * 来源：[sec-context]()

Oauth 安全反模式

包含技能