proto.lib

OAuth PAR - Pushed Authorization Request (RFC 9126)

Client đẩy tham số authorization qua kênh back-channel trước, chỉ nhận về request_uri gọn nhẹ để dùng ở browser, giảm rò rỉ tham số nhạy cảm.

SecurityTrung bình2026-07-14
OAuth PAR - Pushed Authorization Request (RFC 9126)

Tags

#oauth#par#rfc9126#authorization-request#back-channel

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityNâng cao

Thu hồi Token: khi Access Token đã phát hành không thể gọi lại

Access token tự chứa (self-contained, JWT ký sẵn) vẫn hợp lệ tới khi hết hạn dù server có muốn thu hồi ngay; muốn "đăng xuất mọi nơi" phải chọn giữa access token sống ngắn kèm refresh token có thể revoke, hoặc một danh sách/version kiểm tra ở mọi resource server.

#token-revocation#oauth#jwt#session-management
SecurityTrung bình

Chống lừa đảo qua màn hình chấp thuận OAuth (Consent Phishing)

Kẻ tấn công không cần đánh cắp mật khẩu: nạn nhân thấy đúng màn hình chấp thuận (consent screen) THẬT của một ứng dụng do kẻ tấn công đăng ký, xin các scope rộng, và khi nạn nhân bấm Allow thì kẻ tấn công có ngay access token hợp lệ — không có bước nhập mật khẩu hay MFA nào bị vượt qua vì chẳng có bước nào xảy ra.

#oauth#consent-phishing#admin-consent#scope-minimisation
SecurityNâng cao

OAuth Token Exchange (RFC 8693)

Một service đổi token hiện có lấy token khác có phạm vi hẹp hơn để gọi service phía sau, hỗ trợ delegation và impersonation.

#oauth#token-exchange#delegation#impersonation