А может кто-то объяснить для чего в oidc/oauth2 используется параметр

Question

А может кто-то объяснить для чего в oidc/oauth2 используется параметр

state? как это вообще с реальностью коррелирует?

p.s даже не так, он используется для предотвращения XSRF атак, но в реальных юзкейсах что-то такое используется?

#backend #dot #programming #russian

0

27.10.2023

5 ответов

28 просмотров

Ayrat Hudaygulov

Для защиты от CSRF атак. Таким образом клиент может быть уверен что ответ пришёл не от мена ин зе мидл, а от того IDP, куда он посылал запрос Ну и плюс там можно передавать полезные вещи. Мы туда ещё телеметрию кладём чтобы трекать колбеки и строить воронку пропавших без вести на стороне IDP

0

27.10.2023

Вячеслав Z

Ayrat Hudaygulov
Для защиты от CSRF атак. Таким образом клиент може...

как там у вас красиво...

0

27.10.2023

Никита Автор вопроса

Ayrat Hudaygulov
Для защиты от CSRF атак. Таким образом клиент може...

а, т.е в конечном эндпоинте резолва auth code сверяем токен на момент с запроса с тем, который был передан в ответе, так?

0

27.10.2023

Ayrat Hudaygulov

Никита
а, т.е в конечном эндпоинте резолва auth code свер...

Стейт опционален, но если ты его указал, сервер ОБЯЗАН его вернуть ровно в том же виде. Дальше сам решай что с ним делать. Клоака, когда ходит по ссо в другие IDP в стейт кладёт просто гуид. Далее этот стейт сохраняется в эфемерной authentication session (это как сага, которая отображает состояние твоей аутентификации, где ты начал, какой у тебя этап, куда тебя направили и что тебе дальше делать) наряду с tabId, nonce и прочей секурной парашей. Когда клоаке приходит хттп запрос с ответом, клоака достаёт сессию аутентификации, сверяет что стейт был тот же что и в ушедшем запросе (иначе гг, пошёл нахуй грязный хакер) и продолжает

0

27.10.2023

Вячеслав Z · Accepted Answer

Вячеслав Z

такие иелочи вряд ли кто-то помнит, так что спеки читай

0

27.10.2023

170 похожих чатов

А может кто-то объяснить для чего в oidc/oauth2 используется параметр

5 ответов

Похожие вопросы