OAuth 2.0授权码是否应绑定资源所有者？此场景是否为安全隐患？

哥们儿，你遇到的这个情况绝对是高危安全漏洞，而且你对RFC6749的记忆有点偏差——OAuth 2.0核心规范明确要求授权码必须同时与client_id和**资源所有者（用户）**绑定，而不是只绑定客户端ID。

先明确RFC6749的要求 #

RFC6749在授权码授予流程的令牌请求环节（4.1.3节）有明确规定：

授权服务器必须验证授权码的有效性，包括确认该授权码未被使用过、与当前请求的client_id匹配，并且与生成该授权码时的资源所有者关联。

简单说，授权码是特定用户给特定客户端的临时授权凭证，它的有效性必须和用户身份绑定，否则就失去了OAuth“授权”的核心意义。

你的案例问题出在哪 #

John能用Bob的授权码qwerty123拿到Bob的访问令牌，说明你的授权服务器在处理令牌请求时，完全没做用户关联验证：

• 正常流程中，当Bob生成授权码时，服务器应该把qwerty123和Bob的用户ID绑定存储；
• 当John拿着这个授权码请求令牌时，服务器必须检查：这个授权码对应的用户是不是当前请求的用户（比如通过会话、用户标识等方式验证），如果不是，直接拒绝请求。

为什么必须绑定用户？ #

• 防止授权码泄露后的身份冒充：授权码是短期凭证，但如果能被任意用户复用，一旦泄露（比如通过钓鱼、日志泄露），攻击者就能直接拿到原用户的访问令牌，完全突破OAuth的安全边界。
• 符合授权逻辑：授权码的本质是用户向客户端授予权限的“临时凭证”，它只能代表该用户的授权意愿，否则客户端拿到的令牌到底代表谁的授权？这完全违背了OAuth的设计初衷。

修复建议 #

• 生成授权码时，必须关联用户ID（比如Bob的唯一标识），并将这个关联关系存储在授权服务器的数据库/缓存中；
• 处理令牌请求时，除了验证client_id、授权码有效性、重定向URI匹配，还要强制验证当前请求的用户与授权码关联的用户一致；
• 严格遵守授权码一次性使用的要求，一旦兑换成令牌，立即失效。

内容的提问来源于stack exchange，提问作者imortal dude