Token som query string parameter about elsand.github.io HOT 1 CLOSED

Dette har ikke vært veldig grundig vurdert, utover at browserhistorikk som regel er godt beskyttet av OS på brukernivå, og at tokens vil være kortlevde. Nettverk som MITM-er TLS og logger URL-er vil jo også kunne logge headers og body, men i praksis er det som du sier URL-er som i typisk blir logget andre steder enn hos brukeren selv.

Så er enig i at dette teoretisk kan være en vektor, og har endret avsnittet her til å i stedet omdirigere til oppgitt endepunkt gjennom en POST og med tokenet i en application/x-www-form-urlencoded body. Dette har dog en konsekvens mht at eventuelle cookies ikke vil overføres pga SameSite-mekanismen, som kan være kompliserende men likevel håndterbart for tjenestetilbyder.

from elsand.github.io.