Отправка Google+ Гибридный серверный одноразовый код авторизации через HTTP Safe?

Question

Привет, я собираюсь переключиться с использования googles Поток на стороне клиента на поток Гибридный серверный поток, потому что перед тем, как клиент будет отправлен access_token, который я тогда отправлял на сервер, чтобы затем проверить пользователя перед протоколированием их создание или создание новой учетной записи для них, но поскольку я не могу заставить cors работать с https, я не могу смело отправить его.

Я просмотрел разные способы, и кажется, что поток на стороне гибридного сервера - это тот, который я хотел все равно, Единственный вопрос, который у меня есть, безопасно ли отправить один раз код авторизации через http с помощью ajax ?

Я полагаю, что он используется только один раз и один раз, когда сервер использует его, который будет превышать https, используя curl, он больше не имеет никакого значения. Тогда access_token будет только когда-либо на сервере и никогда не был на клиенте, который кажется гораздо более безопасным, чем старый способ использования потока клиентской стороны.

Answer 1

Короткий ответ: абсолютно не

Чем дольше ответ зависит от уровня риска и какой риск вы готовы принять, но в целом это выглядит как плохая идея. Он предполагает, что либо связь между клиентом и сервером имеет низкую вероятность быть перехваченной или управляемой, либо что информация, защищенная oauth, имеет невероятно низкую ценность, которую никто никогда не попробовал бы. Ни один из них не кажется безопасным.

Например, и небрежно, чтобы маршрутизатор-изгои между клиентом и сервером не перехватывал запрос (если он знал о его вероятности) и сначала использовал сам клиентский код. Это может вызвать всевозможные проблемы как на вашем сервере, так и на клиенте, которые могут потребоваться некоторое время для решения ... во время которого у мошенника есть доступ к независимому сервису. Существуют и другие сценарии, подобные этому, что может быть одинаково проблематичным.

Вопрос в том, почему вы хотите это сделать? Есть ли причина, по которой вы не хотите устанавливать сервер SSL, даже один с самозаверяющим сертификатом?