OAuth2.0はcURLセキュリティを使用してaccess_tokenをリクエストします

Question

私はOAuth2.0を使用する上で初心者です。今、私はcURLを使用してaccess_tokenを要求しており、期待通りにうまく動作します。しかし、今私の懸念は、これは安全ですか？なぜなら、client_idとclient_secretは公開されるからですか？またはOAuthサーバーにaccess_tokenを接続/要求する安全な方法がありますか？どうもありがとうございます。

$post = [ 
'grant_type' => 'client_credentials', 
]; 
$ch = curl_init('http://laravelxampp.dev/oauth/access_token'); 
curl_setopt($ch, CURLOPT_POSTFIELDS, $post); 
curl_setopt($ch, CURLOPT_HTTPHEADER, array(
'Authorization: Basic ZjNkMjU5ZGRkM2VkOGZmMzg0MzgzOWI6NGM3ZjZmOGZhOTNkNTljNDU1MDJjMGFlOGM0YTk1Yg==', 
'Accept: application/json', 
'Accept-Language: en_US' 
)); 
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); 
$response = curl_exec($ch); 
curl_close($ch); 
$secret = json_decode($response); 
return $secret->access_token; 

Answer 1

リクエストは、プレーンなHTTPではなくTLSで保護された接続（つまり、https URLを使用）で発生すると想定されています。 TLS上でそれを行うことによって、クライアント秘密の機密性が保証されます。

RFC 6749がhttps://tools.ietf.org/html/rfc6749#section-3.2で言うように：（HTTP要求と応答）
クリアテキストの資格情報の伝送におけるトークンエンドポイントの結果への要求以来

、
認証サーバが必要としなければなりませんトークンエンドポイントに要求を送信するときには、セクション1.6を参照してください。

この例では、保護されていない要求を受け入れる非準拠の認可サーバーが表示されています。