您位於此處：
API (啟用 OAuth 設定):保護權杖交換流程
此控制項決定用戶端應用程式在交換第三方權杖來取得 Salesforce 存取權杖時,是否必須提供密碼。
控制名稱
連線的應用程式:API (啟用 OAuth 設定):保護權杖交換流程
建議組態
啟用權杖交換流程。設定為「不需要權杖交換流程的密碼」。
控制概觀
此控制項決定用戶端應用程式在交換 Salesforce 存取權杖的第三方權杖 (例如外部身分提供者的識別碼權杖) 時,是否必須提供密碼,特別允許公用用戶端在無法安全地儲存認證時略過此需求。
未設定安全性風險
如果公用用戶端不正確地需要密碼,則開發人員會強制將敏感認證硬式編碼至前端程式碼,以便在該處收集這些認證。相反地,無法針對私人用戶端要求,可讓未經授權的伺服器執行交換,而無須證明其身分。
威脅情況
攻擊者從公用行動應用程式的二進位或攔截外部身分權杖,並成功為 Salesforce 工作階段「交易」,因為端點不需要後端密碼來驗證要求。
估計 CVSS 分數範圍
嚴重 (9.0–10.0)。
風險影響考量事項
錯誤設定此設定會導致系統公開用戶端認證,或啟用「權杖跳轉」,進而輕鬆將入侵的外部身分轉換為永久 Salesforce 存取權。
風險愈高時機
權杖交換處理常式使用廣泛的「自動佈建」邏輯設定,以僅根據傳入的不受信任權杖建立擁有廣泛權限的新使用者。
低度風險時機
公用用戶端會使用 PKCE (Proof Key for Code Exchange) 作為次要驗證層,並在「權杖交換處理常式」嚴格驗證傳入權杖的「核發者」和「受眾」宣告時使用。
業務與整合考量事項
實作此動作需要明確的清點,以確保安全性原則符合呼叫環境的技術限制 (瀏覽器與伺服器)。
建議的補救措施
取消選取「需要權杖交換流程的密碼」,以防止密碼洩漏。
安全性健康檢閱指南
Security Health Review 將此識別為重要「身分橋接」控制項,強調權杖交換的安全性僅與要求交易的用戶端驗證相同。
另請參照：
此文章是否解決您的問題？
請讓我們知道，以便我們改進！
