/oauth/** 安全与否？

Question

任何人都应该可以访问端点 /oauth/token 和 /oauth/authorize 吗？

目前我需要一个用户来进行身份验证，我想这是我的应用程序的登录名，它不应该关心谁在调用它，对吗？

Answer 1

这些端点本身实际上对用户和客户端进行身份验证。这在一定程度上取决于您的用例，但总的来说，因此任何人都应该可以从任何地方访问它们。

如果您希望能够从任何地方对用户进行身份验证，并且允许全球互联网上的客户端（而不是例如您的公司网络），那么不应限制对这些端点的访问。

如果您只想将自己限制在公司网络中（即用户只能从公司网络内部进行身份验证，并且客户端只能在连接到公司网络时请求令牌），那么您可以相应地对这些端点进行防火墙保护.