oauth.net/advisories/2014-1-covert-redirect/ oauth.net/advisories/2014-1-covert-redirect/2014 年 5 月 4 日
在 2014 年春天，安全研究員王靜將隱蔽式重新導向稱為開放式重新導向器攻擊。
它描述了一個流程，其中惡意攻擊者攔截OAuth權限伺服器處理OAuth客戶端的要求，並在被稱為「redirect_uri」的要求中修改查詢參數，目的是讓OAuth權限伺服器引導結果OAuth響應到惡意位置，而不是請求的最初客戶端，進而讓攻擊者取得所有已傳送回應的機密。
否。第 4.1.5 節 與 第 4.2.4 節 的OAuth 2.0 正式威脅模式（RFC 6819）詳述此威脅，且 RFC 的第 5.2.3.5 節 記錄了建議的緩解措施。此威脅更常稱為「開放式重新導向器」。2013 年 1 月，威脅模式通過認定為RFC，且許多OAuth實作和部署已有效使用此模式以保障其服務不會受到開放式重新導向器攻擊。
任何部署 OAuth 2.0，作為客戶端或授權服務者的人，都應該關注。不過，這項關注點不是新議題；任何部署 OAuth 2.0 的人都應該知道並瞭解緩解所有 RFC 6819 威脅，而非只針對這項威脅的緩解措施。
要求客戶端註冊完整的重新導向統一資源標識符，如 RFC 6819 第 5.2.3.5 節 所述
使用狀態參數將自訂資訊加入請求，以便您不需要將其加入至重新導向統一資源標識符。（注意：請勿在狀態參數中加入網址，否則您可能會讓自己再次遭遇到開放式重新導向漏洞攻擊）