| 检查点 | scope 粒度、同意页提示、令牌范围校验、令牌泄露面 |
|---|---|
| 方法 | 走查自有应用授权流程并核对接口权限 |
| 修复 | 最小范围 + 服务端按 scope 校验 |
检查步骤
检查步骤
1. 记录申请各接口所需的 scope 组合
2. 用低 scope 令牌调用高敏接口，观察是否被拒绝
3. 检查同意页是否明示将要获得的权限
4. 记录越界的接口清单修复视角：scope 与接口权限在服务端强绑定，敏感操作要求独立的高敏 scope。
OAuth 授权范围与同意页检查
检查授权范围是否最小化、同意页是否明示权限、令牌是否可被范围外接口使用；常见问题是注册即拿高权限。
易错点
- 只核对文档 scope 定义，未验证服务端强制
- 在真实用户授权会话上测试，影响他人授权
数据来源与参考
- RFC 6749
- RFC 9700