のOAuthセキュリティトークン

Question

私の知る限りでは、OAuthの規格はOAuthのが本当にどのように振る舞うべきかについて非常に緩いですが、...

私は、データベース内のさまざまなOAuthのサービスのためのOAuthアクセストークンを格納します。これらのトークンが侵害された場合、それらは第三者によって使用される可能性がありますか？つまり、指定されたトークンは私のAPIと秘密鍵だけにバインドされていますか？

Answer 1

トークンは、特定のサービスおよびユーザーに関連付けられています。それらを使って、そのユーザーのふりをすることができます。 たとえば、IPアドレスやデバイスのUUIDには結び付けられていません（追加の予防措置としてこれを行うことはできますが、OAuthの一部ではありません）。

もし彼らが侵害されてしまった場合は、それらを認証解除して無価値にするでしょう。

さまざまなAPIと秘密鍵で使用できますか？

いいえ。アクセストークンは、発行されたアプリケーションにも関連付けられています。

このようにして、ユーザーはアプリケーションごとに承認を取り消すことができ、すべてのアプリは異なるアクセス許可セット（読み取り専用アクセスなど）を持つことができます。