为什么令牌秘密在OAUTH中未加密返回？

我对OAUTH系统中的“密钥”（或“令牌”）的理解类似于识别发送者的“用户名”，而“密码”实际上类似于“密码”

但是在阅读OAUTH 1.0规范时，在我看来，当消费者向服务提供商询问令牌（请求令牌或访问令牌）时，令牌和令牌密钥以普通（仅以base-64编码）文本作为HTTP响应返回

搜索web后，在很多情况下，“请求令牌URL”不是HTTP而不是HTTPS，这意味着第三方可能会拦截令牌和令牌机密

---

到目前为止，我错了吗？我知道即使是第三方也截获了令牌机密，这仍然是无用的，因为消费者的任何请求（或任何一方声称为消费者）都必须使用消费者密钥（加上令牌secrect）签名，而第三方通常不知道，但那我们为什么需要令牌机密呢

尽管允许使用http，但建议（见附录B.1）使用安全传输（https），否则您的担忧是非常有效的。我确信谷歌在他们所有的OAuth事务上都允许https://使用，至少在获取令牌和机密方面是这样，在我尝试过的所有API数据请求中也是如此。

谢谢，还有一个假问题——知道OAuth为什么不使用消费者机密来加密令牌机密吗？这似乎不会给服务提供商增加太多负担，因为令牌/令牌秘密大小不大。这一点很好。但是，oauth2甚至使签名成为可选的，因此TLS是唯一使用的安全性。从我所读到的，更多的安全意识的人被从OAuth的决策中剔除。