用于忘记密码

Question

OAuth凭证撤回应该如果客户经过一个忘记密码的流动，改变他的密码

Answer 1

一个原因更改密码的OAuth凭证被撤销是当用户注意到别人不得不访问他帐户。在这种情况下，曾经访问旧密码并使用OAuth获取访问令牌的攻击者仍然可以访问该帐户，尽管用户更改了密码以防止出现这种情况。

E.g.由于某些不明确的原因（弱密码，特洛伊木马等），您的GMail帐户被黑客入侵并用于发送垃圾邮件。攻击者使用Google's IMAP with OAuth feature并获得有效的访问令牌。现在不知何故，你注意到他们发送垃圾邮件的名字，你改变你的密码。攻击者仍然拥有有效的访问令牌，并且可以继续发送垃圾邮件。

撤销令牌应该独立于原因，为什么用户更改他的密码。如果他改变它，你应该撤消所有的令牌，并让他再次注册。