リソース所有者とアクセストークンを共有しないことがメリットと考えられるのはなぜですか？

Question

は、IETFのOAuth 2.0のドキュメントRFC 6749によると、リソースの所有者に認証サーバによって発行されたトークンを公開しないことをお勧めであることを暗示している：

認証コードはいくつかの重要なセキュリティ上の利点を提供しますこのような は、リソースの所有者のユーザエージェントを通すこと、潜在的 が他人にそれをさらすことなく、クライアント、ならびにクライアントへトークン直接アクセスの 伝送を認証する能力、リソースの所有者を含むとして 。

これは何らかの理由がありますか？

Answer 1

これは、アクセストークンのみに機密情報や利用可能に保持されなければならない資格証明書であることを強調して：

• 資格情報が有効
• であるため、リソースサーバを、それらを発行した認証サーバそれらが発行されたクライアントアプリケーションアプリケーション

リソースオーナーこれらの資格情報にアクセスする必要があります。認証コードの最も重要な部分はもちろん、他人への暴露のリスクを減らすことですが、リソース所有者に言及することを明示的に注記することで、アクセストークンのターゲット受信者がクライアントアプリケーションであることが明確になります。