当前位置:首页 > 科技 >

第三方账号可以在官方登录吗(直接登录的第三方账号)

来源:原点资讯(www.yd166.com)时间:2023-02-03 17:39:22作者:YD166手机阅读>>

前言

第三方账号登陆也就是当你没有A网站的注册账号时,你可以使用该与A网站合作的第三方账号登陆A,在大多数情况下你会立即拥有与你第三方账号绑定的A网站会员,然后执行A网站的会员操作。这种场景常见于登陆团购、酒店住宿等网站,当人们没有该网站账号时,不少人会毫不犹豫地选择使用qq等登陆。以下的第三方账号就以qq为例吧

第三方账号可以在官方登录吗,直接登录的第三方账号(1)

第三方登陆的过程

第三方账号登陆骨子里就是单点登录SSO的概念,现在添加了很多商业因素。当你使用了第三方账号登陆了,目标站点可以通过第三方账号确定你的身份,你与目标站点的信任关系就建立起来了。SS0的流行让“一个账号游遍互联网”成为了可能。

SSO的优点在于风险集中化,对用户来说不用记那么多的账号密码了,对一些中小网站来说可以专心于业务上而减小账号管理成本。SSO的缺电也很明显,因为风险集中了,所以如果单点一旦被攻破,影响的业务就会涉及所有使用单点登录的系统。为此有些敏感操作如付款等会要求用户输入独立口令或者通过短信验证用户身份等。

腾讯qq的授权登陆过程大致如下:

第三方账号可以在官方登录吗,直接登录的第三方账号(2)

在这里很重要的一点是认证的过程是在qq的控制下完成了。授权通过后,用户还可以设置允许网络应用程序访问自己qq账号的那些数据以及是否可以发布状态等权限。(用户只能在qq授权规则范围内再次选择授权)

第三方账号可以在官方登录吗,直接登录的第三方账号(3)

OAuth协议为用户资源的授权提供了一个安全的、开放而又简易的标准。现在已经发展到2.0版,具体内容大家可百度之。

由此引发的血案

风险1:针对目标网络应用程序而言,从第三方账号获取的数据构成了一种输入,而输入一般是需要进行过滤的,否则会引发XSS。

乌云上有这么一个漏洞WooYun: 拉手网任意订单密码以及用户信息存在泄漏风险(xss盲打后台)。

拉手网获取qq昵称后直接输出到拉手网页面了,而且腾讯允许qq昵称带有特殊字符如等,然后使用qq账号登陆拉手网,其在拉手网的昵称就存在一个xss。该漏洞中作者通过评论反馈盲打了后台并成功登陆。

直到今天拉手网的这个qq昵称问题仍然存在,只是已经不能盲打后台了,估计在之后的页面输出时做了过滤。类似的使用qq账户登录58团、糯米团等,大家有兴趣还可以检测更多的网站。

风险2:授权后的站点在第三方账号站点发布的数据也构成了一种输入,这种输入存在两个问题:第一个问题本质上还是上面的过滤问题,见乌云漏洞WooYun: 博客园的分享接口存在xss漏洞(广大程序猿们要注意啊)发布文章到博客园形成xss;第二个问题就是有些无良站点,在用户授权登陆后往用户账号发布令人反感的信息,一些小白用户甚至都不明白怎么回事。

一点想法

任何时候都不要忘记一个原则:来自用户的输入都是不安全的,堵住了传统的发布渠道时不要忘了所谓的合作账户数据也是一种输入。

尽管有些网站开发者意识到了要过滤第三方账户的数据,但是开发人员良莠不齐,而且策略也很紊乱。例如:有些地方过滤有些地方不过滤(拉手就是这种情况,总觉得以后还会出问题),还有的甚至根本就不过滤。建议开发者在用户一次授权登陆后获取第三方数据并过滤,之后在用户此次登陆过程中就使用这份过滤后版本的数据。

栏目热文

第三方账号指哪方面(什么是第三方账号登录)

第三方账号指哪方面(什么是第三方账号登录)

本文从四个账号体系——自定义账号、邮箱账号、第三方账号、手机号账号,分析了不同体系的特点与发展规律。自互联网服务兴起开始...

2023-02-03 17:16:17查看全文 >>

第三方登录算是登录设备吗(第三方登录认证方式)

第三方登录算是登录设备吗(第三方登录认证方式)

打开新下载的 APP,小伙伴们会选择手机号码注册登录吗?我们越来越习惯不去记密码,而是点击跳转到微信、微博、QQ 等,再...

2023-02-03 17:27:10查看全文 >>

什么叫第三方帐号已绑定(绑定第三方账号有用吗)

什么叫第三方帐号已绑定(绑定第三方账号有用吗)

本文从四个账号体系——自定义账号、邮箱账号、第三方账号、手机号账号,分析了不同体系的特点与发展规律。自互联网服务兴起开始...

2023-02-03 17:18:34查看全文 >>

第三方账号已被登录如何解除(第三方账号已绑定其他账号怎么办)

第三方账号已被登录如何解除(第三方账号已绑定其他账号怎么办)

现在也来越多的网站都需要我们注册登录,但同时又提供了很多快捷登录,比如QQ登录。这样的话我们QQ的安全问题就得不到保障了...

2023-02-03 17:13:55查看全文 >>

长治古八景(长治市名胜古迹位置图)

长治古八景(长治市名胜古迹位置图)

在长治市区东5公里处的百谷山,留下了许多炎帝的传说。百谷山上有一处古泉,人称百谷寒泉,原是上党八景之一。图为:百谷山古寒...

2023-02-03 17:11:16查看全文 >>

什么是该第三方帐号绑定其他帐号(绑定第三方账号的好处)

什么是该第三方帐号绑定其他帐号(绑定第三方账号的好处)

玩抖音的人都知道,一定要绑定第三方账号。为什么?因为绑定第三方账号之后的抖音号会更安全,也更有利于吸粉和推广。目前在抖音...

2023-02-03 17:39:05查看全文 >>

第三方账号要不要开通(什么叫第三方账号)

第三方账号要不要开通(什么叫第三方账号)

对于跨境电商独立站卖家,和消费者建立联系是重中之重,也是必要技能。大家普遍的操作是一头扎进社媒、SEO、付费广告上,再引...

2023-02-03 17:04:18查看全文 >>

为什么要登录第三方账号(如何用第三方账号登录)

为什么要登录第三方账号(如何用第三方账号登录)

编辑导读:当你在APP注册或者登录账号时,你会选择什么样的方式?手机号登录?第三方应用登录?还是账号密码登录?这几种方式...

2023-02-03 17:23:53查看全文 >>

第三方平台帐号是什么意思(国内第三方账户是啥)

第三方平台帐号是什么意思(国内第三方账户是啥)

在日常使用各个APP的时候,大家应该都或多或少接触过与“授权”有关的场景。大家有没有想过在不需要输入密码账号的情况下,是...

2023-02-03 16:55:21查看全文 >>

怎么查看账号是否是第三方登录(怎么查看账号在多个平台登录)

怎么查看账号是否是第三方登录(怎么查看账号在多个平台登录)

背景我们在登录网站时,很多网站除了提供用户名密码或手机号登录的方式外,还提供了第三方登录的方式(使用QQ、微信、微博登录...

2023-02-03 16:56:17查看全文 >>

文档排行