oAuthを使用してRESTリクエストの本体を保護する必要はありますか？

Question

私はREST APIを構築し、認証にoAuthを使用しています。私の質問は、データを含むPUTリクエストとPOSTリクエストの場合、リクエストの本文については何もする必要がありますか？私はそれが何か違いがあれば、SSLを使っています。

URLはoAuth署名で確認されているようですが、本文の内容は何でもかまいません。 URLが正しく署名されていれば、挿入や更新を行うための正しい資格情報が提供されているため、問題があるかどうかはわかりません。リプレイ攻撃を防ぐためにナンスを使用していますが、リクエストボディの扱いを誤解してセキュリティ上の問題が発生するのを避けたいと考えています。

ありがとうございます。

Answer 1

いくつかのOAuthライブラリからの回答が見つかりました。これは正式には仕様の一部ではありませんが、一部のサービスとライブラリでは、要求ヘッダーに "xoauth_body_signature"と "xoauth_body_signature_method"を使用して本文の内容の署名を送信します。

xoauth_body_signatureのグーグルでは、実装上の問題があり、議論が見つかりました。それは多くの人々がそれをやっているようには思われません。