应用程序所有者获得错误的访问令牌
我偶然发现了一个奇怪的边缘情况。我不能 100% 确定我是否错过了某个条件，所以如果其他人能够重现，那将会很有趣。
- 假设我是一个应用程序的所有者
- ，并且另一个 Flattr 用户已连接到该应用程序
- ，并且我将我的 Flatrr 帐户与该应用程序连接
- ，并且我撤销了对我的 Flattr 帐户中该应用程序的访问权限
- ，然后再次连接了我的 Flattr 帐户，
- 我希望得到一个我的帐户的访问令牌，但
- 我获得了其他连接的 Flattr 帐户的访问令牌
这在使用时发生： Node.js 上的 Passport ，带有 passport-flattr 策略
此设置不在令牌端点上使用基本 OAuth，而是发送普通客户端凭据。
这似乎不是一个安全问题，因为应用程序的所有者已经可以访问连接到其应用程序的所有访问令牌。
I stumbled over a strange edge case. I'm not 100% sure if I missed a condition, so it would be interesting if others could reproduce.
- Given I am the owner of an app
- and another Flattr user is connected to this app
- and I connect my Flatrr account with the app
- and I revoke the access to the app in my Flattr account
- and I connect my Flattr account again
- I expect to get an access token for my account, but
- I get the access token for the other connected Flattr account
This occurred when using:
Passport on Node.js with the passport-flattr strategy
This setup does not use Basic OAuth on the token endpoint but sends plain Client Credentials instead.
This does not seem to be a security issue, since the owner of the app already has access to all access tokens connected to its app.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
Flattr API 中存在错误，现已修复。
There was an error in the Flattr API that now is patched.