我目前正在研究oauth2的实现，我想知道CSRF攻击是什么。
我做的很好：在这个方案https://image.slidesharecdn.com/owasp-nulloauth2-160803124628/95/oauth-20-security-considerations-11-638.jpg?cb=1470228518或这个视频https://www.youtube.com/watch?v=_xrhWLqX1j0中，但我不明白目标。
最后，我的帐户将有权访问攻击者帐户，我无法从中获取数据，但不能获取数据。我对吗 ？攻击者这样做有什么好处？
谢谢您的回答，
答案 0 :(得分：0)
还有其他几个答案（例如：-this和this）解释了状态的背景以及如何避免使用csrf。
最好的办法是参考规范创建者给出的内容。 RFC6810-OAuth 2.0威胁模型和安全注意事项包含OAuth 2.0的许多威胁和计数器度量。 Threat: CSRF Attack against redirect-uri对此威胁进行了全面概述。以下是摘录
攻击者可以授权一个授权“代码” 自己在授权服务器上受保护的资源。然后他 中止重定向流返回到其设备上的客户端并进行欺骗 受害者执行重定向回客户端。的 客户端收到重定向，从中获取令牌 授权服务器，并将受害者的客户会话与 使用令牌可访问的资源。
现在，客户端具有属于攻击者的令牌。不，攻击者将无法访问资源服务器中属于客户端的任何内容。但是，如果客户端执行存储操作（例如：-创建文档），它将被发送给恶意方。现在，恶意方获得了对那些新创建的资源的访问权限。突出显示如下，
有效影响取决于所访问资源的类型。对于 例如，用户可以将私人物品上传到攻击者的 资源。或者，在第三方登录方案中使用OAuth时， 用户可以在以下位置将其客户帐户与攻击者的身份相关联 外部身份提供者。这样，攻击者可以 通过从以下位置登录，可以轻松地在客户端上访问受害者的数据 在外部身份上具有其凭据的另一台设备 提供者。
因此，基本上威胁与在资源服务器上创建的新数据有关。
