.NET Web 安全试题 02：授权码流程、PKCE 与回调安全
021 关于授权码流程，哪一项准确描述了应依赖的平台契约？
难度： 基础
- A. 授权码可以长期重复兑换同一组令牌
- B. code 必须绑定客户端、重定向地址并限制使用次数和有效期
- C. 授权码流程通过浏览器获取短期 code，再由客户端后端或受保护组件换取令牌
- D. 只要观察到“攻击者截获 code 后尝试兑换”，就能把这次现象视为所有环境中的固定行为。
查看答案与解析
正确答案C
正确项给出了授权码流程可直接依赖的规则：“授权码流程通过浏览器获取短期 code，再由客户端后端或受保护组件换取令牌”。“code 必须绑定客户端、重定向地址并限制使用次数和有效期”是应用规则前必须确认的边界，不是规则本身；“授权码可以长期重复兑换同一组令牌”则把常见现象或实现细节扩大成了平台保证。场景“攻击者截获 code 后尝试兑换”只能作为排查线索，仍需结合目标框架、发布方式和运行时证据验证。
022 生产环境出现“攻击者截获 code 后尝试兑换”时，针对授权码流程应如何排查？
难度： 进阶
- A. 直接采用“授权码可以长期重复兑换同一组令牌”解释现象，不再收集目标进程和发布配置证据。
- B. 只增加机器资源或重启进程，以一次恢复结果代替对“code 必须绑定客户端、重定向地址并限制使用次数和有效期”的验证。
- C. 只检查代码是否能够编译，通过后便认定“授权码流程通过浏览器获取短期 code，再由客户端后端或受保护组件换取令牌”在当前部署中必然成立。
- D. 先验证“code 必须绑定客户端、重定向地址并限制使用次数和有效期”，再使用运行时指标、日志或最小复现检查“授权码流程通过浏览器获取短期 code，再由客户端后端或受保护组件换取令牌”是否成立。
查看答案与解析
正确答案D
“攻击者截获 code 后尝试兑换”可能由多条路径造成，不能直接证明根因。合理顺序是先确认边界“code 必须绑定客户端、重定向地址并限制使用次数和有效期”，再以“授权码流程通过浏览器获取短期 code，再由客户端后端或受保护组件换取令牌”组织证据。采用误区“授权码可以长期重复兑换同一组令牌”、盲目扩容或只看编译结果，都跳过了运行配置与真实调用路径，无法形成可复核的诊断结论。
023 评审授权码流程相关实现时，以下哪项判断不成立？
难度： 实战
- A. 授权码流程通过浏览器获取短期 code，再由客户端后端或受保护组件换取令牌
- B. 授权码可以长期重复兑换同一组令牌
- C. code 必须绑定客户端、重定向地址并限制使用次数和有效期
- D. 遇到“攻击者截获 code 后尝试兑换”时，应把可观察证据与平台契约分开记录，再验证二者是否一致。
查看答案与解析
正确答案B
题目要求找出不成立的判断，“授权码可以长期重复兑换同一组令牌”正是授权码流程的典型误区。主规则“授权码流程通过浏览器获取短期 code，再由客户端后端或受保护组件换取令牌”描述了实现应依赖的契约，边界“code 必须绑定客户端、重定向地址并限制使用次数和有效期”限制了结论的适用范围。生产场景还需要保留指标、日志、跟踪或转储等证据，不能因为一次成功或失败就反转稳定契约。
024 准备上线涉及授权码流程的改动时，哪项验收方案最完整？
难度： 实战
- A. 依据“授权码流程通过浏览器获取短期 code，再由客户端后端或受保护组件换取令牌”实现，在“code 必须绑定客户端、重定向地址并限制使用次数和有效期”成立的环境中验证，并为“攻击者截获 code 后尝试兑换”保留可观测证据和回退条件。
- B. 依据“授权码可以长期重复兑换同一组令牌”完成修改，只要本地运行一次成功就立即发布。
- C. 按照“授权码流程通过浏览器获取短期 code，再由客户端后端或受保护组件换取令牌”修改代码，但不核对“code 必须绑定客户端、重定向地址并限制使用次数和有效期”或目标发布模式。
- D. 只验证“code 必须绑定客户端、重定向地址并限制使用次数和有效期”，实现仍继续依赖“授权码可以长期重复兑换同一组令牌”这一未经证明的假设。
查看答案与解析
正确答案A
完整验收必须同时覆盖规则、边界和生产证据：实现遵守“授权码流程通过浏览器获取短期 code，再由客户端后端或受保护组件换取令牌”，部署环境满足“code 必须绑定客户端、重定向地址并限制使用次数和有效期”，并能在“攻击者截获 code 后尝试兑换”出现时定位和回退。其余方案分别依赖错误假设、遗漏环境验证或只检查边界却保留错误实现，均不能证明改动在生产环境中安全。
025 关于PKCE，哪一项准确描述了应依赖的平台契约？
难度： 基础
- A. PKCE 用 code_challenge 和 code_verifier 把授权请求与令牌兑换绑定，降低授权码截获风险
- B. PKCE 用来加密 access token 的正文内容
- C. 验证器仍需安全保存在发起流程的客户端上下文中，并使用推荐挑战方法
- D. 只要观察到“公共客户端无法安全保存 client secret”，就能把这次现象视为所有环境中的固定行为。
查看答案与解析
正确答案A
正确项给出了PKCE可直接依赖的规则：“PKCE 用 code_challenge 和 code_verifier 把授权请求与令牌兑换绑定，降低授权码截获风险”。“验证器仍需安全保存在发起流程的客户端上下文中，并使用推荐挑战方法”是应用规则前必须确认的边界，不是规则本身；“PKCE 用来加密 access token 的正文内容”则把常见现象或实现细节扩大成了平台保证。场景“公共客户端无法安全保存 client secret”只能作为排查线索，仍需结合目标框架、发布方式和运行时证据验证。
026 生产环境出现“公共客户端无法安全保存 client secret”时，针对PKCE应如何排查？
难度： 进阶
- A. 直接采用“PKCE 用来加密 access token 的正文内容”解释现象，不再收集目标进程和发布配置证据。
- B. 先验证“验证器仍需安全保存在发起流程的客户端上下文中，并使用推荐挑战方法”，再使用运行时指标、日志或最小复现检查“PKCE 用 code_challenge 和 code_verifier 把授权请求与令牌兑换绑定，降低授权码截获风险”是否成立。
- C. 只增加机器资源或重启进程，以一次恢复结果代替对“验证器仍需安全保存在发起流程的客户端上下文中，并使用推荐挑战方法”的验证。
- D. 只检查代码是否能够编译，通过后便认定“PKCE 用 code_challenge 和 code_verifier 把授权请求与令牌兑换绑定，降低授权码截获风险”在当前部署中必然成立。
查看答案与解析
正确答案B
“公共客户端无法安全保存 client secret”可能由多条路径造成，不能直接证明根因。合理顺序是先确认边界“验证器仍需安全保存在发起流程的客户端上下文中，并使用推荐挑战方法”，再以“PKCE 用 code_challenge 和 code_verifier 把授权请求与令牌兑换绑定，降低授权码截获风险”组织证据。采用误区“PKCE 用来加密 access token 的正文内容”、盲目扩容或只看编译结果，都跳过了运行配置与真实调用路径，无法形成可复核的诊断结论。
027 评审PKCE相关实现时，以下哪项判断不成立？
难度： 实战
- A. PKCE 用 code_challenge 和 code_verifier 把授权请求与令牌兑换绑定，降低授权码截获风险
- B. 验证器仍需安全保存在发起流程的客户端上下文中，并使用推荐挑战方法
- C. PKCE 用来加密 access token 的正文内容
- D. 遇到“公共客户端无法安全保存 client secret”时，应把可观察证据与平台契约分开记录，再验证二者是否一致。
查看答案与解析
正确答案C
题目要求找出不成立的判断，“PKCE 用来加密 access token 的正文内容”正是PKCE的典型误区。主规则“PKCE 用 code_challenge 和 code_verifier 把授权请求与令牌兑换绑定，降低授权码截获风险”描述了实现应依赖的契约，边界“验证器仍需安全保存在发起流程的客户端上下文中，并使用推荐挑战方法”限制了结论的适用范围。生产场景还需要保留指标、日志、跟踪或转储等证据，不能因为一次成功或失败就反转稳定契约。
028 准备上线涉及PKCE的改动时，哪项验收方案最完整？
难度： 实战
- A. 依据“PKCE 用来加密 access token 的正文内容”完成修改，只要本地运行一次成功就立即发布。
- B. 按照“PKCE 用 code_challenge 和 code_verifier 把授权请求与令牌兑换绑定，降低授权码截获风险”修改代码，但不核对“验证器仍需安全保存在发起流程的客户端上下文中，并使用推荐挑战方法”或目标发布模式。
- C. 只验证“验证器仍需安全保存在发起流程的客户端上下文中，并使用推荐挑战方法”，实现仍继续依赖“PKCE 用来加密 access token 的正文内容”这一未经证明的假设。
- D. 依据“PKCE 用 code_challenge 和 code_verifier 把授权请求与令牌兑换绑定，降低授权码截获风险”实现，在“验证器仍需安全保存在发起流程的客户端上下文中，并使用推荐挑战方法”成立的环境中验证，并为“公共客户端无法安全保存 client secret”保留可观测证据和回退条件。
查看答案与解析
正确答案D
完整验收必须同时覆盖规则、边界和生产证据：实现遵守“PKCE 用 code_challenge 和 code_verifier 把授权请求与令牌兑换绑定，降低授权码截获风险”，部署环境满足“验证器仍需安全保存在发起流程的客户端上下文中，并使用推荐挑战方法”，并能在“公共客户端无法安全保存 client secret”出现时定位和回退。其余方案分别依赖错误假设、遗漏环境验证或只检查边界却保留错误实现，均不能证明改动在生产环境中安全。
029 关于state，哪一项准确描述了应依赖的平台契约？
难度： 基础
- A. 使用 HTTPS 后 state 不再有任何安全意义
- B. state 用于把回调与发起的授权请求关联并防御登录 CSRF
- C. state 应不可预测、一次性并与本地会话绑定，不能只回显固定字符串
- D. 只要观察到“攻击者把自己的登录结果绑定给受害者”，就能把这次现象视为所有环境中的固定行为。
查看答案与解析
正确答案B
正确项给出了state可直接依赖的规则：“state 用于把回调与发起的授权请求关联并防御登录 CSRF”。“state 应不可预测、一次性并与本地会话绑定，不能只回显固定字符串”是应用规则前必须确认的边界，不是规则本身；“使用 HTTPS 后 state 不再有任何安全意义”则把常见现象或实现细节扩大成了平台保证。场景“攻击者把自己的登录结果绑定给受害者”只能作为排查线索，仍需结合目标框架、发布方式和运行时证据验证。
030 生产环境出现“攻击者把自己的登录结果绑定给受害者”时，针对state应如何排查？
难度： 进阶
- A. 先验证“state 应不可预测、一次性并与本地会话绑定，不能只回显固定字符串”，再使用运行时指标、日志或最小复现检查“state 用于把回调与发起的授权请求关联并防御登录 CSRF”是否成立。
- B. 直接采用“使用 HTTPS 后 state 不再有任何安全意义”解释现象，不再收集目标进程和发布配置证据。
- C. 只增加机器资源或重启进程，以一次恢复结果代替对“state 应不可预测、一次性并与本地会话绑定，不能只回显固定字符串”的验证。
- D. 只检查代码是否能够编译，通过后便认定“state 用于把回调与发起的授权请求关联并防御登录 CSRF”在当前部署中必然成立。
查看答案与解析
正确答案A
“攻击者把自己的登录结果绑定给受害者”可能由多条路径造成，不能直接证明根因。合理顺序是先确认边界“state 应不可预测、一次性并与本地会话绑定，不能只回显固定字符串”，再以“state 用于把回调与发起的授权请求关联并防御登录 CSRF”组织证据。采用误区“使用 HTTPS 后 state 不再有任何安全意义”、盲目扩容或只看编译结果，都跳过了运行配置与真实调用路径，无法形成可复核的诊断结论。
031 评审state相关实现时，以下哪项判断不成立？
难度： 实战
- A. state 用于把回调与发起的授权请求关联并防御登录 CSRF
- B. state 应不可预测、一次性并与本地会话绑定，不能只回显固定字符串
- C. 遇到“攻击者把自己的登录结果绑定给受害者”时，应把可观察证据与平台契约分开记录，再验证二者是否一致。
- D. 使用 HTTPS 后 state 不再有任何安全意义
查看答案与解析
正确答案D
题目要求找出不成立的判断，“使用 HTTPS 后 state 不再有任何安全意义”正是state的典型误区。主规则“state 用于把回调与发起的授权请求关联并防御登录 CSRF”描述了实现应依赖的契约，边界“state 应不可预测、一次性并与本地会话绑定，不能只回显固定字符串”限制了结论的适用范围。生产场景还需要保留指标、日志、跟踪或转储等证据，不能因为一次成功或失败就反转稳定契约。
032 准备上线涉及state的改动时，哪项验收方案最完整？
难度： 实战
- A. 依据“使用 HTTPS 后 state 不再有任何安全意义”完成修改，只要本地运行一次成功就立即发布。
- B. 按照“state 用于把回调与发起的授权请求关联并防御登录 CSRF”修改代码，但不核对“state 应不可预测、一次性并与本地会话绑定，不能只回显固定字符串”或目标发布模式。
- C. 依据“state 用于把回调与发起的授权请求关联并防御登录 CSRF”实现，在“state 应不可预测、一次性并与本地会话绑定，不能只回显固定字符串”成立的环境中验证，并为“攻击者把自己的登录结果绑定给受害者”保留可观测证据和回退条件。
- D. 只验证“state 应不可预测、一次性并与本地会话绑定，不能只回显固定字符串”，实现仍继续依赖“使用 HTTPS 后 state 不再有任何安全意义”这一未经证明的假设。
查看答案与解析
正确答案C
完整验收必须同时覆盖规则、边界和生产证据：实现遵守“state 用于把回调与发起的授权请求关联并防御登录 CSRF”，部署环境满足“state 应不可预测、一次性并与本地会话绑定，不能只回显固定字符串”，并能在“攻击者把自己的登录结果绑定给受害者”出现时定位和回退。其余方案分别依赖错误假设、遗漏环境验证或只检查边界却保留错误实现，均不能证明改动在生产环境中安全。
033 关于nonce，哪一项准确描述了应依赖的平台契约？
难度： 基础
- A. 校验 state 后可以忽略 ID token 中的 nonce
- B. nonce 与 state 解决的侧重点不同，不能互相简单替代
- C. OIDC nonce 把 ID token 与认证请求关联，帮助防止令牌重放
- D. 只要观察到“旧 ID token 被重新注入回调”，就能把这次现象视为所有环境中的固定行为。
查看答案与解析
正确答案C
正确项给出了nonce可直接依赖的规则：“OIDC nonce 把 ID token 与认证请求关联，帮助防止令牌重放”。“nonce 与 state 解决的侧重点不同，不能互相简单替代”是应用规则前必须确认的边界，不是规则本身；“校验 state 后可以忽略 ID token 中的 nonce”则把常见现象或实现细节扩大成了平台保证。场景“旧 ID token 被重新注入回调”只能作为排查线索，仍需结合目标框架、发布方式和运行时证据验证。
034 生产环境出现“旧 ID token 被重新注入回调”时，针对nonce应如何排查？
难度： 进阶
- A. 直接采用“校验 state 后可以忽略 ID token 中的 nonce”解释现象，不再收集目标进程和发布配置证据。
- B. 先验证“nonce 与 state 解决的侧重点不同，不能互相简单替代”，再使用运行时指标、日志或最小复现检查“OIDC nonce 把 ID token 与认证请求关联，帮助防止令牌重放”是否成立。
- C. 只增加机器资源或重启进程，以一次恢复结果代替对“nonce 与 state 解决的侧重点不同，不能互相简单替代”的验证。
- D. 只检查代码是否能够编译，通过后便认定“OIDC nonce 把 ID token 与认证请求关联，帮助防止令牌重放”在当前部署中必然成立。
查看答案与解析
正确答案B
“旧 ID token 被重新注入回调”可能由多条路径造成，不能直接证明根因。合理顺序是先确认边界“nonce 与 state 解决的侧重点不同，不能互相简单替代”，再以“OIDC nonce 把 ID token 与认证请求关联，帮助防止令牌重放”组织证据。采用误区“校验 state 后可以忽略 ID token 中的 nonce”、盲目扩容或只看编译结果，都跳过了运行配置与真实调用路径，无法形成可复核的诊断结论。
035 评审nonce相关实现时，以下哪项判断不成立？
难度： 实战
- A. 校验 state 后可以忽略 ID token 中的 nonce
- B. OIDC nonce 把 ID token 与认证请求关联，帮助防止令牌重放
- C. nonce 与 state 解决的侧重点不同，不能互相简单替代
- D. 遇到“旧 ID token 被重新注入回调”时，应把可观察证据与平台契约分开记录，再验证二者是否一致。
查看答案与解析
正确答案A
题目要求找出不成立的判断，“校验 state 后可以忽略 ID token 中的 nonce”正是nonce的典型误区。主规则“OIDC nonce 把 ID token 与认证请求关联，帮助防止令牌重放”描述了实现应依赖的契约，边界“nonce 与 state 解决的侧重点不同，不能互相简单替代”限制了结论的适用范围。生产场景还需要保留指标、日志、跟踪或转储等证据，不能因为一次成功或失败就反转稳定契约。
036 准备上线涉及nonce的改动时，哪项验收方案最完整？
难度： 实战
- A. 依据“校验 state 后可以忽略 ID token 中的 nonce”完成修改，只要本地运行一次成功就立即发布。
- B. 按照“OIDC nonce 把 ID token 与认证请求关联，帮助防止令牌重放”修改代码，但不核对“nonce 与 state 解决的侧重点不同，不能互相简单替代”或目标发布模式。
- C. 只验证“nonce 与 state 解决的侧重点不同，不能互相简单替代”，实现仍继续依赖“校验 state 后可以忽略 ID token 中的 nonce”这一未经证明的假设。
- D. 依据“OIDC nonce 把 ID token 与认证请求关联，帮助防止令牌重放”实现，在“nonce 与 state 解决的侧重点不同，不能互相简单替代”成立的环境中验证，并为“旧 ID token 被重新注入回调”保留可观测证据和回退条件。
查看答案与解析
正确答案D
完整验收必须同时覆盖规则、边界和生产证据：实现遵守“OIDC nonce 把 ID token 与认证请求关联，帮助防止令牌重放”，部署环境满足“nonce 与 state 解决的侧重点不同，不能互相简单替代”，并能在“旧 ID token 被重新注入回调”出现时定位和回退。其余方案分别依赖错误假设、遗漏环境验证或只检查边界却保留错误实现，均不能证明改动在生产环境中安全。
037 关于重定向 URI，哪一项准确描述了应依赖的平台契约？
难度： 基础
- A. 只验证重定向地址域名包含客户端名称即可
- B. 通配符和开放重定向会扩大泄露风险
- C. 只要观察到“子域或查询参数绕过回调限制”，就能把这次现象视为所有环境中的固定行为。
- D. 授权服务器应对 redirect_uri 做预注册的精确匹配，避免令牌或授权码发送到攻击者地址
查看答案与解析
正确答案D
正确项给出了重定向 URI可直接依赖的规则：“授权服务器应对 redirect_uri 做预注册的精确匹配，避免令牌或授权码发送到攻击者地址”。“通配符和开放重定向会扩大泄露风险”是应用规则前必须确认的边界，不是规则本身；“只验证重定向地址域名包含客户端名称即可”则把常见现象或实现细节扩大成了平台保证。场景“子域或查询参数绕过回调限制”只能作为排查线索，仍需结合目标框架、发布方式和运行时证据验证。
038 生产环境出现“子域或查询参数绕过回调限制”时，针对重定向 URI应如何排查？
难度： 进阶
- A. 直接采用“只验证重定向地址域名包含客户端名称即可”解释现象，不再收集目标进程和发布配置证据。
- B. 先验证“通配符和开放重定向会扩大泄露风险”，再使用运行时指标、日志或最小复现检查“授权服务器应对 redirect_uri 做预注册的精确匹配，避免令牌或授权码发送到攻击者地址”是否成立。
- C. 只增加机器资源或重启进程，以一次恢复结果代替对“通配符和开放重定向会扩大泄露风险”的验证。
- D. 只检查代码是否能够编译，通过后便认定“授权服务器应对 redirect_uri 做预注册的精确匹配，避免令牌或授权码发送到攻击者地址”在当前部署中必然成立。
查看答案与解析
正确答案B
“子域或查询参数绕过回调限制”可能由多条路径造成，不能直接证明根因。合理顺序是先确认边界“通配符和开放重定向会扩大泄露风险”，再以“授权服务器应对 redirect_uri 做预注册的精确匹配，避免令牌或授权码发送到攻击者地址”组织证据。采用误区“只验证重定向地址域名包含客户端名称即可”、盲目扩容或只看编译结果，都跳过了运行配置与真实调用路径，无法形成可复核的诊断结论。
039 评审重定向 URI相关实现时，以下哪项判断不成立？
难度： 实战
- A. 授权服务器应对 redirect_uri 做预注册的精确匹配，避免令牌或授权码发送到攻击者地址
- B. 通配符和开放重定向会扩大泄露风险
- C. 只验证重定向地址域名包含客户端名称即可
- D. 遇到“子域或查询参数绕过回调限制”时，应把可观察证据与平台契约分开记录，再验证二者是否一致。
查看答案与解析
正确答案C
题目要求找出不成立的判断，“只验证重定向地址域名包含客户端名称即可”正是重定向 URI的典型误区。主规则“授权服务器应对 redirect_uri 做预注册的精确匹配，避免令牌或授权码发送到攻击者地址”描述了实现应依赖的契约，边界“通配符和开放重定向会扩大泄露风险”限制了结论的适用范围。生产场景还需要保留指标、日志、跟踪或转储等证据，不能因为一次成功或失败就反转稳定契约。
040 准备上线涉及重定向 URI的改动时，哪项验收方案最完整？
难度： 实战
- A. 依据“授权服务器应对 redirect_uri 做预注册的精确匹配，避免令牌或授权码发送到攻击者地址”实现，在“通配符和开放重定向会扩大泄露风险”成立的环境中验证，并为“子域或查询参数绕过回调限制”保留可观测证据和回退条件。
- B. 依据“只验证重定向地址域名包含客户端名称即可”完成修改，只要本地运行一次成功就立即发布。
- C. 按照“授权服务器应对 redirect_uri 做预注册的精确匹配，避免令牌或授权码发送到攻击者地址”修改代码，但不核对“通配符和开放重定向会扩大泄露风险”或目标发布模式。
- D. 只验证“通配符和开放重定向会扩大泄露风险”，实现仍继续依赖“只验证重定向地址域名包含客户端名称即可”这一未经证明的假设。
查看答案与解析
正确答案A
完整验收必须同时覆盖规则、边界和生产证据：实现遵守“授权服务器应对 redirect_uri 做预注册的精确匹配，避免令牌或授权码发送到攻击者地址”，部署环境满足“通配符和开放重定向会扩大泄露风险”，并能在“子域或查询参数绕过回调限制”出现时定位和回退。其余方案分别依赖错误假设、遗漏环境验证或只检查边界却保留错误实现，均不能证明改动在生产环境中安全。