Clave de sesión vs token de acceso Outh

Bueno, depende ...

OAuth es un protocolo para crear una sesión. Los tokens de portador OAuth son transmitidos por el cliente utilizando el encabezado HTTP Authentication: Bearer . Esto es solo una fuente criptográfica que se transmite a través de un elemento de encabezado http, que en efecto es ( casi ) idéntico al elemento de encabezado http cookie .

¿En qué se diferencia? Bueno, las reglas para las cookies son un poco diferentes a otros elementos del encabezado. La cookie es mantenida por el navegador y se adjunta a cada solicitud a la que pertenece la cookie. Esta es la razón por la que falsificación de solicitudes entre sitios o los ataques de conducción de sesión. Al navegador no le importa de dónde vino la solicitud, adjuntará la cookie según el destino de la solicitud.

Los tokens de OAuth Bearer son un poco diferentes. Estos tokens generalmente son administrados por el cliente (JavaScript, Flash o incluso alguna aplicación de middleware). Si su aplicación utiliza JavaScript para administrar el token de portador de autenticación, entonces este valor no se aplicará automáticamente por el navegador y, por lo tanto, puede duplicarse como un token CSRF, lo cual es nítido.

Sin embargo, si está utilizando OAuth para middleware, entonces CSRF no entra en juego, por lo que no importa dónde se muestre en el encabezado.

CSRF ya está protegido por todos los navegadores modernos, si no se limita a adjuntar cookies según el destino, si las validaciones permiten la política de origen antes de enviarlas al servidor, así que luego de investigar un poco, auth2 y la autenticación basada en sesión, ambas tienen el mismo riesgo de seguridad y la única diferencia es el encabezado que se está utilizando