Ibm mobilefirst IBM Mobile First 8.0 oAuth-授权代码交付到非预期服务器

我通过安全检查（UserAuthSecurityCheck）登录到应用程序

我为授权端点构建了一个URL，并将重定向uri更改为不同的服务器（黑客服务器）

当我发出这个请求时，它会将授权代码传递给黑客服务器。

现在我可以在黑客服务器上访问这个授权代码了

我相信黑客可以利用这一点，他让你点击不同浏览器选项卡中的链接，并能够执行到授权端点的请求

为什么在“重定向uri”框架中没有白名单

如何缓解这个问题

必须根据oAuth规范避免打开重定向

---

您是对的，我们没有将

重定向uri列入白名单

，但是，MobileFirst服务器通过强制对令牌请求（使用授权代码）进行签名来缓解此漏洞，从而使攻击无效

---

免责声明：我是IBM移动第一基金会的开发人员。谢谢你的回答。但我仍然认为这种方法存在问题。我可以更改“重定向uri”并将授权代码发送到不同的服务器。如果我在不同的服务器上获得授权码。我可以使用此授权代码到达令牌端点以获取访问令牌。因此，授权码是签名的还是未签名的并不重要。因为MF服务器是提供授权代码的服务器。客户端需要使用其私钥对代码进行签名，并且在颁发令牌之前在服务器中进行验证，因此仅授权代码是没有用的。