OAuth2认证服务器：如何判断重定向URI是否使用TLS？

作为OAuth2协议的实现者，你提到的RFC 6749第3.1.2.1节的要求非常关键——当涉及code/token响应类型或敏感凭证传输时，重定向端点必须使用TLS。针对你的问题，我来逐一拆解：

核心判断逻辑：直接检查重定向URL的协议前缀 #

你问的是否只需依赖https://协议标识？是的，这是最直接且符合RFC规范的做法。

RFC 6749本身要求用于敏感操作的重定向URI必须是HTTPS的，所以你要做的第一步就是验证客户端提供的redirect_uri是否以https://开头。具体实现可以用PHP的parse_url()函数解析URL，检查scheme部分：

$parsedRedirectUri = parse_url($redirectUri);
// 检查scheme是否为https，同时处理parse_url可能返回的null情况
if (!isset($parsedRedirectUri['scheme']) || $parsedRedirectUri['scheme'] !== 'https') {
    // 返回OAuth2标准错误响应
    http_response_code(400);
    echo json_encode([
        'error' => 'invalid_request',
        'error_description' => 'Redirect URI must use HTTPS for this response type'
    ]);
    exit;
}

这一步是基础：如果重定向URI的协议不是HTTPS，直接拒绝请求，无需继续处理——因为这已经违反了RFC的强制要求。

为什么不需要用CURL检查Strict-Transport-Security字段？ #

HSTS（Strict-Transport-Security）是浏览器层面的安全机制，用于强制后续请求使用HTTPS访问某个域名。但对于你的认证服务器来说，你不需要关心目标服务器的HSTS配置：

• 你的责任是确保你发送的重定向地址符合RFC要求的HTTPS标准，至于客户端浏览器如何与目标服务器交互（是否遵循HSTS），那是浏览器和目标服务器的事情。
• 用CURL去请求目标服务器检查HSTS不仅增加了额外的网络开销，还可能引入超时、错误等不可控因素，完全没有必要。

额外的安全保障：验证重定向URI是否为预注册地址 #

OAuth2规范还要求客户端必须预先注册其重定向URI，这既是防止开放重定向攻击的关键，也能进一步确保重定向地址的合规性。你应该在验证协议的同时，检查redirect_uri是否存在于该客户端的注册列表中：

// 假设你有存储客户端注册信息的逻辑，比如从数据库获取
$client = $this->clientRepository->findById($clientId);
if (!in_array($redirectUri, $client->getRegisteredRedirectUris())) {
    http_response_code(400);
    echo json_encode([
        'error' => 'invalid_request',
        'error_description' => 'Invalid redirect URI'
    ]);
    exit;
}

结合这两步，就能同时满足RFC的TLS要求和OAuth2的安全规范。

总结正确流程 #

在执行header("Location: $redirectUri")之前，你需要完成：

• 解析redirect_uri，验证其scheme为https
• 验证redirect_uri属于客户端预先注册的地址
• 以上任意一步不通过，直接返回标准的OAuth2错误响应，终止流程

这样既严格遵循了RFC 6749的要求，也保障了认证服务器的安全性。

内容的提问来源于stack exchange，提问作者Alex83690