将当前 Session 原子绑定到待授权请求

POST

/api/v1/oauth/authorize/requests/{request_id}/bind

绑定时必须同时满足：

有效的 Session Cookie（chenxing_session）

CSRF 校验通过（chenxing_csrf Cookie + X-CSRF-Token 头）

授权持有者 Cookie 与 pending 记录中的摘要匹配（chenxing_authz_holder，防御 OAuth login CSRF / 请求固定攻击 #115）

chenxing_authz_holder Cookie 由 /oauth/authorize 在创建未绑定 pending 请求时下发（HttpOnly, SameSite=Lax, path=/），
SHA-256 摘要存入 Redis 的 pending 记录。缺失该 Cookie 或摘要不匹配返回 403。

升级前创建的旧 pending 记录无 holder 摘要，绑定时将被拒绝（fail-secure），用户需重新发起授权流程。

请求参数

Path 参数

Header 参数

请求示例代码

Shell

JavaScript

Java

Swift

PHP

Python

HTTP

Objective-C

Ruby

OCaml

Dart

返回响应

🟢204删除成功

绑定成功或同一 Session 的幂等重试

该响应没有 Body

🟠400请求有误

🟠401没有权限

🟠403禁止访问

🟠409服务器故障

🔴503服务器故障

修改于 2026-08-16 10:45:00

查询绑定到当前 Session 的待授权请求

批准或拒绝绑定到当前 Session 的授权请求