Как избавиться OAuth Callback Forgery по умолчанию?

Question

[Homakov]

homakov.blogspot.com/2012/07/saferweb-most-common-oauth2.html
кто бы как решил проблему, не оставляя параметр опциональным?

Answer 1

[larikov]

В этой статье описано решение.

You are supposed to send special optional param 'state' — any random hash you get back by Provider in User's callback: ?code=123&state=HASH. Before adding OAuth account you MUST verify session[state] is equal params[state].

Comments

[Homakov]

не оставляя параметр опциональным. опциональное никто не делает…

[larikov]

что значит «не оставляя параметр опциональным»?

передаете хеш, при возврате сравниваете с тем, что у вас в сессии. если хеша нет — не авторизовывать.