search

graycat27 / twitterBot

2 stars 0 forks source link

tokenの未検証 #13

Closed graycat27 closed 2 years ago

graycat27 commented 2 years ago

アカウント登録時の一連のフローにおいて、 送信したtokenと受信したtokenの一致を検証していない （リファレンスで推奨されている処理の未実装）

graycat27 commented 2 years ago

image https://developer.twitter.com/en/docs/authentication/oauth-1-0a/obtaining-user-access-tokens

graycat27 commented 2 years ago

WebController.java の getAuthの最後にredirectした際のtokenと、callbackされてきたときのtokenが一致していることを確認する必要がある https://github.com/graycat27/twitterBot/blob/master/src/main/java/com/github/graycat27/twitterbot/web/WebController.java#L37

graycat27 commented 2 years ago

session管理について参照した先 https://terasolunaorg.github.io/guideline/public_review/ArchitectureInDetail/SessionManagement.html