proto.lib

OAuth Refresh Token Rotation

Minh họa cơ chế xoay vòng refresh token: mỗi lần làm mới cấp token mới, phát hiện tái sử dụng token cũ để vô hiệu hóa cả chuỗi.

SecurityNâng cao2026-07-02
OAuth Refresh Token Rotation

Tags

#oauth#refresh-token#token-rotation#reuse-detection

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityNâng cao

Thu hồi Token: khi Access Token đã phát hành không thể gọi lại

Access token tự chứa (self-contained, JWT ký sẵn) vẫn hợp lệ tới khi hết hạn dù server có muốn thu hồi ngay; muốn "đăng xuất mọi nơi" phải chọn giữa access token sống ngắn kèm refresh token có thể revoke, hoặc một danh sách/version kiểm tra ở mọi resource server.

#token-revocation#oauth#jwt#session-management
SecurityTrung bình

Chống lừa đảo qua màn hình chấp thuận OAuth (Consent Phishing)

Kẻ tấn công không cần đánh cắp mật khẩu: nạn nhân thấy đúng màn hình chấp thuận (consent screen) THẬT của một ứng dụng do kẻ tấn công đăng ký, xin các scope rộng, và khi nạn nhân bấm Allow thì kẻ tấn công có ngay access token hợp lệ — không có bước nhập mật khẩu hay MFA nào bị vượt qua vì chẳng có bước nào xảy ra.

#oauth#consent-phishing#admin-consent#scope-minimisation
SecurityNâng cao

OAuth Token Exchange (RFC 8693)

Một service đổi token hiện có lấy token khác có phạm vi hẹp hơn để gọi service phía sau, hỗ trợ delegation và impersonation.

#oauth#token-exchange#delegation#impersonation