您在此处：
画布应用程序设置：画布签名请求安全性
此安全设置决定了画布集成的授权协议。
控件名称
连接的应用程序：画布应用程序设置：画布签名请求安全性
推荐配置
访问方法 - 签名请求 (POST) | OAuth Webflow (GET)。
控制概览
此安全设置决定了画布集成的授权协议，其中签名请求 (POST) 为预授权的用户提供可验证的负载，OAuth Webflow (GET) 使用基于重定向的顺序进行按需用户授权。
安全风险（如果未配置）
画布访问方法的实施不安全，特别是不必要地使用基于 GET 的 OAuth Web 流，这会导致会话令牌被盗风险，因为明文 URL 字符串和浏览器日志中的敏感身份验证参数被泄露。
威胁场景
攻击者拦截未加密的 GET 请求或访问浏览器历史以获取活动会话标识符，稍后使用盗窃的令牌在 Salesforce 实例中冒充用户。
估计的 CVSS 得分范围
高 (7.0–8.9)。
风险影响注意事项
不实施加密签名的 POST 请求会助长浏览器历史或服务器日志中敏感会话元数据的泄露，从而显著增加持续帐户劫持的可能性。
高风险
当对具有管理权限的应用程序使用 GET 方法时，因为它依赖于用户级别的同意，可以通过社交工程绕过或操纵。
低风险
当 GET 方法仅限于需要明确用户批准的低灵敏第三方工具时，或者当组织对框架应用程序实施严格的 IP 范围限制时。
业务和集成注意事项
虽然签名请求 (POST) 是内部应用程序的安全标准，但 OAuth Web 流 (GET) 适用于用户必须自我授权的外部“现成”集成，或缺乏后端来验证加密签名的客户端应用程序。
建议的补救措施
转到连接的应用程序的画布应用程序设置，为所有自定义内部集成选择签名请求 (POST)，以确保敏感数据在请求正文中传输，而不是在 URL 中传输。
安全健康审查指导
安全运行状况审查将签名请求 (POST) 的使用确定为高保证集成的强烈建议标准，以防止拦截身份验证令牌，同时确认用于特定第三方自授权用例的 GET 方法。
另请参阅：
本文章是否解决您的问题？
请与我们共享您的想法，以便我们进行改进！
