您在此处：
安全性：需要 Web 服务器流的密码
此安全设置要求 Web 服务器或应用程序必须向 Salesforce 提供唯一的客户端密码，以完成访问令牌的授权代码交换。
控件名称
外部客户端应用程序：安全性：需要 Web 服务器流的密码
推荐配置
需要 Web 服务器流的密码。
控制概览
此安全设置要求 Web 服务器或应用程序必须向 Salesforce 提供唯一的客户端密码，以完成访问令牌的授权代码交换。
安全风险（如果未配置）
如果没有所需的密码，Web 服务器流仅依赖于授权代码，该代码可以通过浏览器历史、引用者标题或日志文件截取，然后由未经授权的操作者为会话交换。
威胁场景
攻击者从用户的重定向 URI 获取有效的授权代码，并成功模拟应用程序请求访问令牌，因为 Salesforce 端点不需要辅助服务器端身份验证。
估计的 CVSS 得分范围
高 (7.0–8.9)。
风险影响注意事项
允许无秘密 Web 服务器流允许广泛的会话劫持和未经授权的数据访问，因为请求应用程序的身份在令牌交换期间永远不会经过加密或管理验证。
高风险
如果应用程序托管在共享域上或使用未加密的重定向 URI，则攻击者会提供多个向量来观察和窃取传输中的授权代码。
低风险
如果应用程序已经为每个事务强制实施代码交换验证密钥 (PKCE)，因为这会将授权代码绑定到攻击者未知的高熵验证器。
业务和集成注意事项
启用此要求可确保密码在后端服务器上受到保护，但要求应用程序架构能够安全地存储和传输密码，而不会将其暴露给客户端浏览器。
建议的补救措施
转到外部客户端应用程序的 OAuth 设置，并选中要求 Web 服务器流使用客户端密码的复选框。
安全健康审查指导
安全运行状况审查将强制使用服务器端流的客户端密码确定为基本的防御深度标准，因此如果没有辅助的专用凭据，敏感授权代码不会被武器化。
另请参阅：
本文章是否解决您的问题？
请与我们共享您的想法，以便我们进行改进！
