30、超越承载令牌：PoP 令牌详解与实现

超越承载令牌：PoP 令牌详解与实现

在身份验证和授权领域，承载令牌（Bearer Tokens）是一种常见的机制，但它存在一定的安全风险。Proof of Possession（PoP）令牌作为一种更安全的替代方案，正逐渐受到关注。本文将详细介绍 PoP 令牌的工作原理、使用方法以及如何在现有的 OAuth 生态系统中实现 PoP 令牌支持。

1. PoP 令牌基础

PoP 令牌的流程与承载令牌类似，主要包括获取令牌和使用令牌两个步骤。

1.1 请求和颁发 PoP 令牌

要颁发 PoP 令牌，授权服务器需要知道与令牌关联的密钥。根据客户端类型和部署环境，该密钥可以由客户端提供或由服务器生成。以下是与 PoP 令牌关联的密钥类型：
| 提供方 | 对称密钥 | 非对称密钥 |
| — | — | — |
| 客户端 | 一般不是好主意，因为客户端可能选择弱密钥，但对于具有可信平台模块或其他能够生成真正安全共享密钥机制的客户端是可行的 | 适用于能够生成安全密钥的客户端，可最大限度减少对客户端私钥的了解；客户端仅注册公钥，服务器仅返回公钥 |
| 服务器 | 适用于受约束的客户端或无法生成安全密钥的客户端 | 适用于无法生成安全密钥的客户端；服务器生成密钥对并返回 |

获取 OAuth PoP 令牌（及关联密钥）的流程如下：

graph LR
    A[客户端] -->|请求授权| B[资源所有者]
    B -->|授权| A
    A -->|发送授权码和密钥| C[授权服务器]