本文基于@蓝色di雪球在2014年8月22日的KCon上的演讲《利用oauth劫持用户身份》整理而成。 演讲者简介 @蓝色di雪球，新浪微博安全团队安全工程师。主要从事微博产品的安全测试，安全功能架构，以及相关自动化平台工具架构和研发工作。致力于研究应用安全，安全自动化以及安全运维等。 oauth是什么 oauth是一个开源授权协议，通过授权，第三方应用可以在不使用用户名密码的情况下，访问用户在某一个网站上的私密数据。目前微博、...

最近将网站和新浪微博进行了整合，思路很简单，就是将页面内容和新浪微博联系起来，一个独立内容的页面对于一条微博，自然评论系统只需要使用微博的评论即可。 然后，用户需要发表评论的话，肯定要接入oauth，不可能让用户登录你的网站来发评论吧？没有谁会将自己的账号和密码告诉你的。 查看了新浪微博的授权机制，然后下载了python版的sdk，就可以在django上接入oauth了。[code]#!/usr/bin/env python # -*- coding: utf-8 -*-...

引言 现在，很多的应用程序都在使用HTML和 JavaScript, 这是一个非常明智的选择,让你跟上目前的趋势. 一些主要实体工具因为客户端验证和授权等原因提供了API. 当前网站对于验证的一个广受欢迎的功能是"单点登录". 这让用户可以通过其它一些社交媒体网站上的身份认证直接登录你的网站. 这篇文章介绍用纯JavaScript通过一个简单的方法让你从三个身份认证提供者上登录到你的网站. 背景 为了使用身份认证提供者的API, 你要在他们的...

Mars视频笔记——oauth认证(三) 有了上面oauth原理，HTTP操作，AsyncTask的基础 就可以在Android中进行认证的操作了 1 对Request Token进行授权 在retrieveRequestToken中有一个参数（第二个）是回调URL 该方法首先申请到一个未授权的requestToken 然后将appkey和secret存到comsumer 并返回用于授权的地址 通过uri 隐式启动Activity（打开了授权网页） 在完成了oauth认证第二第二步以后（网页上点...

关于开发OpenAPI需要申请Basic Authentication，例如SSL等，有几个问题请教高人： 1. 向什么机构申请？有相应的网站吗？介绍也行； 2. 需要什么样的费用？ 3. 需要公司什么样的资质？提供什么样的资料？ 迫切等待高人给予指点，我这里拜上了！

OAuthOpenAPI

最近做了一个新浪微博的应用开发，主要是使用NET::oauth来实现新浪微博的发布 新浪的SDK版本不少，好像缺少perl的，把个人的一点经验分享下 1、需要去获取requset token： my $request = Net::oauth->request("request token")->new( consumer_key =>appkey, #申请应用新浪给的App Key consumer_secret => appsecret, #申请应用新浪给的App Secret request_url => request_url,#请求request token的地址 http://a...

最近看了一下新浪围脖的oauth消息发送的方式，整理一下。 新浪微博开放平台上对oauth的授权与发送流程介绍的很清楚 http://open.t.sina.com.cn/wiki/index.php/oauth 。有兴趣的可以自己去研究。 本文通过java代码直观的将上面的流程描述一下。 欲善其事，先利其器。先下载一下围脖java的SDK ，这个SDK太懒了，里面是源码，直接开源了，哈哈。 1、先去 微博开放平台 创建一个应用 ，应用好了，你会得到一个应用的A...

　　 几周前，OpenSSL网站加密工具曝出的“Heartbleed”漏洞，已经将整个互联网安全领域震翻了一回。尽管绝大多数网站都在第一时间修复了它，但是一个新的问题又浮出了水面。一名安全研究人员发现了两款登录系统上的重大漏洞，而想要修复它们，却比Heartbleed要困难得多。 据Cnet报道，新加坡南洋理工大学一位名叫Wang Jing的博士生，发现了oauth和OpenID开源登录工具的“隐蔽重定向”漏洞(Covert Redirect)。 这可导致攻击者创建...

本帖最后由 feiyang10086 于 2010-12-10 16:45 编辑 Foursquare推出新版API：升级至oauth 2 据国外媒体报道，在经过一年多时间的开发后 ，Foursquare今天推出了在速度、一致性和清晰度上都有大幅提升的应用编程接口（API）新版本“APIv2”。 性能大幅提升 Foursquare放弃了对可扩展标记语言 (XML)的支持，加快了服务器响应速度，并且升级到oauth2标准，让用户能够更加方便和安全地通过第三方服务连接到Foursquare，此外，新...

API