Sicherheit von Webanwendungen · Middle · Frage 52 von 75
Warum muss der Autorisierungsserver redirect_uri exakt mit registrierten Werten abgleichen?
- 1Weil URLs mit Query-Strings in OAuth gar nicht erlaubt sind
- 2Lockerer Abgleich lässt Angreifer Codes an ihre eigene URL umleiten
- 3Weil der Browser Redirect-URIs vor dem Verlassen selbst prüft
Antwort zeigen
Richtige Antwort: Lockerer Abgleich lässt Angreifer Codes an ihre eigene URL umleiten
Erklärung
Präfix- oder Wildcard-Abgleich hat viele echte Token-Leaks verursacht. Exakter String-Abgleich wird von den Best Practices verlangt.