Oauth 2の後続要求はどのように保護されていますか？

Question

私はJWTでのoauth2の仕組みには初心者ですが、短時間でそれを学ぶ必要があります:)ビットを読んだ後、私はこのような仕事の結論を抽象化します。

今私は私の心の中で2つの質問があります。

（1）OAth2の仕組みはわかりますか？

（2）手順6（図）の後で、私が認める限り、承認サーバーへのこれ以上の要求はありません。その後、誰（侵入者）は、認証サーバーによって与えられたトークンの魔女がWeb APIと通信し、不正アクセスを取得することができることを知っています。 （私はトークンが侵入者によって変更されていないことを知っています。それ以来、ウェブAPIは新しいものですが、侵入者はそれを変更せずにウェブAPIと通信できます）

私は逃してしまったことを知っています。

Answer 1

あなたのトークンが盗まれるのを防ぐためにセキュリティ対策が必要です。これは、セッションベースの認証でsession-idが盗まれるのを防ぐことと同じです。

有効なトークンにアクセスできるのは、トークンの取得方法に関係なく、定義されたユーザーだけです。

ウェブAPIが認証システムと直接通信するかどうかは関係ありません。