AI / 编程与调试

授权回调的校验要点

不校验 state 就可能被塞入攻击者的授权码，账号被绑走

我们接入 [平台] 登录，回调里用 code 换令牌。请逐项检查：state 是否随机生成并与当前会话绑定、回调地址是否与注册值完全一致、code 是否只能使用一次、换到的 [用户标识] 与本地账号绑定时是否需要二次确认。给出 [框架] 下的实现要点，以及回调被重放时应该怎么处理。