OAuth2流程中是否应将code参数从应用日志中过滤移除？

• 结论：授权code属于敏感数据，必须严禁出现在应用日志中
• 原因：
  • 尽管code生命周期极短（一般仅几分钟），但在有效期内，攻击者拿到code后，结合客户端ID（多数场景下公开可查）和客户端密钥（保密客户端）就能换取访问令牌，进而获取用户的受保护资源。
  • 就算是SPA这类公共客户端，若未启用PKCE防护，code被截获后依然存在被冒用的风险——哪怕用了PKCE，也不代表code就失去了敏感性，只是降低了风险而已。
  • 它和用户登录密码的性质类似：都是短期/一次性的身份凭证，一旦泄露就可能被利用，所以日志里绝对不能记录，就像不能记录用户密码一样。
• 实践建议：
  • 处理回调请求时，主动过滤请求参数里的code字段，禁止将其写入任何日志文件、监控系统或调试输出。
  • 服务器端处理code的逻辑里，只在换取令牌的必要步骤使用code，用完后立即销毁相关变量，避免内存残留或被意外输出。

内容的提问来源于stack exchange，提问作者Fer