ユーバーAPIの資格情報の開示

私がドキュメントを理解していれば、まずOAuth2を使用してアクセストークンを取得する必要があります。client_secretが必要です。

クライアント側のアプリケーションであるため、クライアント_秘密は、どのユーザーからも（簡単にまたはそうではなく）見ることができます。

私はクライアント秘密の公開の影響を理解しようとしていますが、ドキュメントから悪いことを見つけることはできません。
ベアラトークンなしで、有害な何もしない任意のclient_secretエンドポイントがあるように思えません。

2016-07-20 Filipe Pina

クライアントシークレットは、OAuthのサーバとクライアントアプリケーション間の共有秘密です。アプリケーションのクライアントシークレットを所有しているユーザーは、そのアプリケーションとして表現できます。それが漏洩していますので、もし、悪意のあるアプリケーションができます：あなたのアプリケーションを装ってユーザーからの

要求権限アプリケーションが（例えば、「要求」スコープ）
リクエストのホワイトリストに登録されていた
リクエストスコープクライアントの資格情報が流れ（https://tools.ietf.org/html/rfc6749#section-1.3.4）
を与える使用して、アプリケーションのアクセストークンは、はい、アプリケーション

出典

2016-07-20 13:05:23

としてその他の悪意のある活動を実行するが、これは質問の多かったです具体的にはOAuthではなく、一般的にuber api向けです。ポイント1;アプリケーションがOAuth Bearerトークン自体を持たないユーザについて要求できるものは何も見つかりませんでした。ポイント2;私が使用しているスコープは他のアプリケーションでも利用できます。ポイント3;私はこのことを理解していませんが、 "デスクトップ"アプリケーションには当てはまりません。また、自分のアプリIDを使用してユーザーをOAuthに誘導しても、リダイレクトURLが設定されているため、リダイレクトはページに戻りません（私は信じています） –

ユーバーAPIの資格情報の開示

答えて

関連する問題