将用户名和密码传递给Flask Oauth2服务器（密码授权类型）

Question

我使用Flask-Oauthlib实现Flask REST API，并且想知道在URL参数中传递用户名和密码可以吗？例如：

GET http://127.0.0.1:5000/api/token?client_id=CLIENT_ID&grant_type=password&username=myusername&password=hopeudontseemypass 

在我的开发环境中的所有请求都显示日志为纯文本是这样的：

127.0.0.1 - "GET /api/token?client_id=CLIENT_ID&grant_type=password&username=myusername&password=hopeudontseemypass HTTP/1.1" 200 - 

有没有办法通过编码的用户名的base64 /传入请求头？所有密码授权类型示例都使用URL参数中的用户名和密码，因此如果服务器使用SSL，则不知道这是否是一个真正的问题。

Answer 1

OAuth协议规范说明必须将参数POST-ed到令牌端点。通过接受它们作为查询参数，授权服务器违反了规范。更好地使用POST来避免证书以日志文件结尾。