关于 oauth-oidc-misconfiguration
面向 OAuth 2.0 和 OpenID Connect 实现的安全检查技能，供测试人员核查流程验证、令牌校验、权限范围及账户绑定问题。
主要功能
- 01检查 state 和 nonce 校验
- 02审查重定向 URI 处理
- 03检查 PKCE 强制执行
- 04核查令牌受众和签发者
- 05审查权限范围与账户绑定
适用场景
- 01审计社交登录流程
- 02测试 SPA 和移动端 OAuth 客户端
- 03调查账户关联缺陷
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/oauth-oidc-misconfiguration确认已加载。
详细介绍
技能：OAuth 和 OIDC 配置错误——重定向、PKCE、作用域和令牌绑定
AI 加载指令：当目标使用 OAuth 2.0 或 OpenID Connect，且你需要聚焦检查配置错误（包括重定向 URI 验证、state 和 nonce 处理、PKCE 强制要求、令牌受众以及账户绑定错误）时，使用此技能。
1. 何时加载此技能
在以下情况下加载：
- 应用支持
Login with Google、GitHub、Microsoft、Okta 或其他 IdP - 你看到
authorize、callback、redirect_uri、code、state、nonce或code_challenge - 移动端或 SPA 客户端依赖 OAuth 或 OIDC 流程
对于令牌加密和 JWT 标头滥用，也请加载：
2. 高价值配置错误检查
| 主题 | 检查内容 |
|---|---|
state 处理 | 缺失、静态、可预测，或未与用户会话绑定 |
redirect_uri 验证 | 前缀匹配、开放重定向链、路径混淆、残留的 localhost |
| PKCE | 公共客户端未启用、未强制执行代码验证器、流程降级 |
OIDC nonce | 缺失，或在返回 ID 令牌时未验证 |
| 令牌受众和签发者 | aud / iss 检查不严格、令牌被跨客户端重复使用 |
| 账户绑定 | 回调将攻击者身份绑定到受害者会话 |
| 作用域处理 | 授予的作用域超出用户或客户端应获得的范围 |
3. 快速分诊
- 梳理完整流程：授权、回调、令牌交换、注销。
- 重放回调流程，并修改
state、nonce和redirect_uri。 - 对比 SPA、移动端和 Web 客户端，检查是否存在验证较弱的客户端。
- 检查同一个提供商账户是否可以重新绑定到另一个本地账户。
4. 相关方向
- CORS 或跨源令牌泄露：cors cross origin misconfiguration
- XML 联合身份验证或企业 SSO：saml sso assertion attacks
- 以 CSRF 为主的登录或绑定错误：csrf cross site request forgery
评论
支持 Markdown