开放授权

2009年4月23日，OAuth宣告了一个1.0协议的安全漏洞。该漏洞影响了OAuth 1.0核心规范第6节的OAuth的认证流程（也称作3阶段OAuth）。[5]于是，发布了OAuth Core协议1.0a版本来解决这一问题。[6]

2014年5月，新加坡南洋理工大学一位名叫王晶（Wang Jing）的数学系博士生[7]，发现了OAuth和OpenID开源登录工具的"隐蔽重定向漏洞"[8]。该漏洞首先由CNET报道[9]。腾讯QQ、新浪微博、阿里巴巴淘宝、支付宝、搜狐网、网易、人人网、开心网、亚马逊、微软Live、WordPress、eBay、PayPal、脸书、谷歌、雅虎、領英、VK.com、Mail.Ru、Odnoklassniki.ru、GitHub等大量知名网站受影响[10]。黑客可利用该漏洞给钓鱼网站“变装”，用知名大型网站链接引诱用户登录钓鱼网站，一旦用户访问钓鱼网站并成功登陆授权，黑客即可读取其在网站上存储的私密信息[11]。该问题被凤凰网[12]，网易[13]，搜狐[14]，太平洋电脑网[15]，人民网[16]，CSDN[17]等大量中文网站报道。其实漏洞不是出现在OAuth这个协议本身，这个协议本身是没有问题的，之所以存在问题是因为各个厂商没有严格参照官方文档，只是实现了简版。问题的原因在于OAuth的提供方提供OAuth授权过程中没有对回调的URL进行校验，从而导致可以被赋值为非原定的回调URL，就可以导致跳转、XSS等问题，甚至在对回调URL进行了校验的情况可以被绕过[18]。目前大部分被涉及的网站都已经修复该问题。

• OpenID
• 隐蔽重定向漏洞

• OAuth.net （页面存档备份，存于）
• OAuth WG （页面存档备份，存于） at the IETF
• OAuth Code Library Support （页面存档备份，存于） on Google Groups
• OAuth Beginner's Guide and Resource Center （页面存档备份，存于） on Hueniverse
• Google OAuth & Federated Login Research （页面存档备份，存于）
• Yahoo! OAuth Quick Start Guide
• OAuth安全忠告 （页面存档备份，存于）
• 基于OAuth安全协议的Java应用编程 （页面存档备份，存于）
• OAuth Core规范的译文 （页面存档备份，存于）
• Covert Redirect （页面存档备份，存于）
• 凤凰网 （页面存档备份，存于）
• 人民网
• Covert Redirect Vulnerability Related to OAuth 2.0 and OpenID
• Serious security flaw in OAuth, OpenID discovered （页面存档备份，存于）
• 针对近期“博全球眼球OAuth漏洞”的分析与防范建议