本文目录一览：
OAuth2.0忽略state参数引发的CSRF漏洞
state 参数在 OAuth2 认证过程中不是必选参数，因此第三方应用开发者在集成 OAuth2 认证的时候，容易忽略该参数的存在，导致容易受到 CSRF 攻击。
state参数在 OAuth2 认证过程中不是必选参数，因此在早期第三方应用开发者在集成 OAuth2 认证的时候很容易会忽略它的存在，导致应用易受 CSRF 攻击。所以必须对这个安全问题重视起来。
没有引入回跳地址的判断，导致会跳可能会篡改，这样授权码和Token会被Hack掉(0a的时候修复了这个漏洞)。 授权流程过于单一化。 OAuth0的引入： 抽象验证流程 由于OAuth1过于复杂，之后对OAuth进行了改造引入了Oauth0。-oauth2.0php
授权回调域名配置规范为全域名，比如需要网页授权的域名为：，配置以后此域名下面的页面http：// 、 http：// 都可以进行OAuth0鉴权。
微信OAuth2.0授权回调页面域名设置问题怎么解决?
需要在微信公众后台配置授权回调域名，配置注意事项请参考公众平台接口详细说明，配置成功后，可以通过请求授权页面，直到授权后重定向到回调地址。
错误原因是：订阅号没有相关的权限。账号没有认证，没有相关的权限。scope 参数位置错误。使用的AppId和AppSecret在功能-高级功能-开发模式-开发者凭据中，可以找到。
在微信公众号请求用户网页授权之前，开发者需要先到公众平台官网中的开发者中心页配置授权回调域名。
要在微信中使用OAuth0 ，首先需要在微信公众后台配置授权回调域名，配置注意事项请参考公众平台接口详细说明，配置成功后，我们就可以通过请求授权页面，直到授权后重定向到回调地址。
OAuth 0网页授权有两种模式：(1)Base（基本型），用户可直接通过链接访问，相应的微信公众账号只能获取用户的openid，无法获取到其它信息。
回调域名。在根目录下新建某个目录/pin。把代码传到pin文件夹。通过。前提是这个代码支持子目录访问。这样就可以一个授权域名，（1+n）个程序，共用。如果不支持子目录访问，那就没办法了。
OAuth2.0有固定的JSON格式吗?
1、第四步，B 网站收到请求以后，就会颁发令牌。具体做法是向 redirect_uri 指定的网址，发送一段 JSON 数据。上面 JSON 数据中， access_token 字段就是令牌，A 网站在后端拿到了。-oauth2.0php
2、具体做法与上面基本一致。更换相对应的值。需要注意的是code可以写一个Servlet获取。String code = request.getParameter(code)；get/post都可以。这样子就会返回一下json格式数据 具体代码如下。-oauth2.0php
3、OAuth 0定义了四种授权方式： 1 授权码模式(authorization code) 授权码(authorization code)方式，指的是第三方应用先申请一个授权码，然后再用该码获取令牌。 2 简化模式(implicit) 有些Web 应用是纯前端应用，没有后端。-oauth2.0php
4、OAuth产生背景 很多网站、APP 没有搭建自己的账号体系，而是直接微信，QQ，微博的这种授权方式登录。如果需要用户名密码登录网址，app 需要明文保存用户的微博账号和密码，这样很不安全。
5、OpenID Connect(OIDC) 是建立在 OAuth 0 协议之上的一个简单的身份层，它允许计算客户端根据授权服务器执行的认证，以 JSON 作为数据格式，验证终端用户的身份。
6、首先需要保证你的 OAuth0 请求是在 HTTPS 协议下发送的，这样可以防止暴露用户的信息。
