在ABP框架中使用OAuth 2.0的推送授权请求(PAR)
💡
原文中文，约4500字，阅读约需11分钟。
📝
内容提要
推送授权请求（PAR）是OAuth 2.0的新功能，增强了授权码流的安全性。客户端可直接将有效载荷推送至授权服务器，降低请求被篡改的风险。ABP框架已支持PAR，用户认证后可安全获取access token，建议在应用中使用PAR以提升安全性。
🎯
关键要点
- 推送授权请求（PAR）是OAuth 2.0的新功能，增强了授权码流的安全性。
- PAR允许客户端直接将有效载荷推送至授权服务器，降低请求被篡改的风险。
- ABP框架已支持PAR，用户认证后可安全获取access token。
- 当前ABP框架应用程序中的授权码流涉及多个网站，如Acme.AuthServer和Acme.Web。
- 授权码流存在问题，如请求可能被修改、无法保证请求来源和机密性。
- PAR通过定义新的请求机制解决了授权码流中的安全问题。
- OpenIdDict 6.1.0版本开始支持PAR，ABP框架已升级以支持此功能。
- 使用PAR时，客户端在应用中发送POST请求到授权服务器的par端点。
- ABP的OpenIddict模块默认启用了PAR特性，允许在应用中配置。
- 并非所有认证客户端都支持PAR，例如Blazor WASM尚不支持。
- 推荐在应用中使用PAR以提升安全性。
➡️
