实现OAuth授权码流程时Auth Server的state存储问题咨询

存储位置选择 #

• 服务器端会话（Session）
  当客户端携带state、client_id、redirect_uri跳转到认证服务器登录页时，服务器为当前用户代理创建会话，将这三个参数绑定到会话中，会话ID通过HttpOnly、Secure的Cookie返回给浏览器。这种方式实现简单，适合单体部署的认证服务器。

• 加密Cookie
  无需服务器端存储，直接把state、client_id、redirect_uri用强加密算法（如AES-GCM）加密后，存入Cookie返回给浏览器。登录验证时，从Cookie中取出加密内容解密即可获取参数。注意密钥需妥善保管，且Cookie要设置HttpOnly、Secure和合理的过期时间。

• 分布式缓存（如Redis）
  针对分布式部署的认证服务器，生成一个随机唯一的关联ID，将state、client_id、redirect_uri以关联ID为key存入缓存，并设置5-15分钟的过期时间。关联ID通过Cookie返回给浏览器，用户提交凭证时，用关联ID从缓存中取出对应参数。

匹配与验证流程 #

1. 用户提交登录凭证后，服务器从请求中获取会话ID/关联ID/加密Cookie，取出绑定的state、client_id、redirect_uri。
2. 校验client_id是否为认证服务器已注册的合法客户端。
3. 校验redirect_uri是否与该客户端预先注册的地址完全匹配（禁止直接使用客户端传入的未验证地址，防止钓鱼跳转）。
4. 验证通过后，将原state参数与授权码一同拼接至redirect_uri，完成重定向。

关键安全注意事项 #

• 所有存储的参数必须设置过期时间，避免旧请求被滥用，有效防范CSRF攻击。
• 禁止信任客户端传入的redirect_uri，必须与客户端注册信息严格匹配。
• 若使用Cookie存储会话ID或加密内容，需开启HttpOnly和Secure属性，防止XSS攻击窃取Cookie。

内容的提问来源于stack exchange，提问作者Chan