現在のOAuth 1.0 SPEC - セッション固定攻撃にどのように対処しますか？

Question

この仕様を続けて、最新のものになるはずです。仕様は、2009年に識別された

私はリスクを改善するために取られた措置をステークホルダーに説明するのに苦労している「正しい」仕様を実装しています。

誰も私のために問題にいくつかの光を刈るのを気にかけていますか？

Answer 1

1.0Aは、ここで説明されている非常に特別な攻撃に対処します。

> http://hueniverse.com/2009/04/説明 - OAuth - セッション固定 - 攻撃/

Answer 2

1. 要求トークン生成ステップでは、oauth_callbackパラメータが必要です。OAuth 1.0Aが使用されていることを示しているoauth_callback_accepted応答パラメータが使用されています。
2. oauth_verifierパラメータは、認証/同意フェーズ中にサービスプロバイダによって生成されます。
3. oauth_verifierはアクセストークン生成ステップで送信する必要があります。

   http://wiki.oauth.net/w/page./ 12238555 /符号付き％20 Callback％20urls 詳細については