OAuth и PKCE
Для делегированного доступа проверяйте получателя токена и связывайте ответ с начатой авторизацией.
Проверено Изменено
Плохо
Общий токен всем приложениям.
Произвольный redirect_uri.
Хорошо
Authorization Code + PKCE.
Точный redirect_uri, проверка issuer и state.
Почему это важно
Непроверенный адрес возврата или чужой токен может привести к захвату доступа.
Когда применять
Состав проверок зависит от клиента и провайдера. Не используйте password grant; минимизируйте scopes.
Кто что делает
Человек
Регистрирует приложение и выбирает минимальные разрешения.
AI-агент
Реализует интеграцию по документации установленной версии и проверяет отказ, тайм-аут и повтор.
Контроль результата:
- Проверьте подмену state, redirect_uri и токена другой аудитории.
Как проверить у себя
- Проверьте подмену state, redirect_uri и токена другой аудитории.
Первоисточники
История изменений на GitHubДата проверки отражает содержательную сверку. Синхронизация сайта не обновляет её автоматически.