微信掃碼登錄授權過程中state字段的用法

問題描述

最近在實現微信掃碼登錄這一塊,然後看到state字段上面說是可以防csrf攻擊

 

 那麼現在假設一個用戶掃完碼後由於某些原因掃碼後的響應還沒到,但是該平臺的回調url已被竊取,然後被人設置到某個網頁上,用戶又剛好點到該網頁上的這個鏈接,導致該網頁可以冒名頂替該用戶登錄,進入到登陸後的頁面。但是問題是,如果別人已經提前知道了回調的url並設置在了網頁上,那麼他應該不知道code的值,那麼在服務器端判斷是否帶有code不就可以了嗎,那如果code被獲取到了,那state也會被獲取到啊,那state發揮的作用在哪,不知道是不是我對csrf的理解有問題,或者說還沒有其他攻擊的場景,跪求大佬解釋,感激不盡!

 

 
發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章