OAuth 2.0: i tranelli ricorrenti

OAuth 2.0 rilascia token di accesso a terze parti. È un protocollo di autorizzazione; usarlo come login richiede OIDC. Gli errori nascono ai bordi.

I classici

redirect_uri lasco: se il server accetta redirect parziali o wildcard, l'attaccante dirotta il codice verso un dominio suo. Match esatto, sempre.

state mancante: senza il parametro state legato alla sessione, il flusso è vulnerabile a CSRF (login forzato). È il token anti-CSRF di OAuth.

implicit flow: il token nel frammento URL finisce in cronologia, referer, log. Usa Authorization Code + PKCE.

Difesa

Authorization Code con PKCE anche per i client confidenziali, redirect_uri con match esatto registrato, state verificato, token con scope minimo e vita breve. Valida aud e iss dei token che accetti.