说 OAuth2.0 漏洞/这个协议不安全的人，把头伸过来下，砖头准备好了。
Black Hat 的有关 Paper：
《OAuth User Profile Attack – How to Sign into One Billion Mobile App Accounts Effortlessly》
本质问题在于一些 App 在使用 OAuth2.0 协议时，（估计为了简单）使用的是 Implicit Flow 模式，然而并没严格按照协议的要求去实现，导致可能出现的劫持攻击。这并不是说 OAuth2.0 本身有漏洞或这个协议本身不安全，就好像两年多前的心脏出血漏洞，问题不在于 SSL 这个协议本身，而在于其某种实现方式（OpenSSL）有缺陷。一些媒体文的专业性一直是被诟病的，搞安全的人不要轻信媒体文。
结论与建议看 Paper 的倒数3、2页。
补充说明：