OAuth授权码流中被黑客截获的授权码为何无效？遗漏的安全逻辑是什么？

你遗漏了以下几个核心的安全校验逻辑，这也是授权码被截获后无法被黑客利用的根本原因：

• 授权码与预注册重定向URI强绑定：你在授权服务器后台注册客户端时，必须提前提交固定的重定向URI（redirect_uri），发起授权请求时携带的redirect_uri必须和预注册值完全一致，授权服务器才会下发授权码。后续用授权码兑换Token时，也必须再次提交完全相同的redirect_uri，否则授权服务器会直接拒绝请求。
• 授权码单次有效且有效期极短：授权码的默认有效期通常只有30秒到5分钟，且只要被使用过一次就会立即作废。哪怕黑客成功截获到授权码，绝大多数情况下要么已经被合法用户提前使用，要么已经过期失效。
• 业务侧接口的会话与state校验：你提到的黑客用Postman调用业务后端接口兑换Token的场景无法成立，因为后端接收授权码的接口会做两层强制校验：
  1. 校验请求是否携带用户发起授权请求时的有效会话Cookie，无有效会话的请求会直接被拒绝
  2. 校验请求携带的state参数是否和发起授权时后端存储在会话中的随机state值完全一致，不一致直接拒绝
     黑客既没有用户的有效会话Cookie，也不知道该授权码匹配的state值，根本无法通过这两层校验。
• 客户端密钥的保密性：兑换Token必须的client_secret仅存储在业务后端，永远不会暴露给前端侧。哪怕黑客绕开业务后端直接请求授权服务器的Token接口，没有合法的client_secret也无法完成Token兑换。

内容的提问来源于stack exchange，提问作者Matan