È sicuro trasmettere i token di accesso tramite le intestazioni HTTP?

Se dovessi trasmettere l'intestazione del token di accesso tramite HTTP, allora sarebbe vulnerabile all'attacco man-in-the-middle.

Quando trasmetti l'intestazione del token di accesso tramite HTTPS, quindi nessuno a parte il client sarà in grado di vedere questo token in quanto la richiesta verrà registrata tramite connessione protetta.

Non ci sono problemi seri nel trasferire il token di accesso su intestazioni http perché i dati trasferiti sono crittografati quando SSL è usato, significa che può essere compreso solo da un particolare client che ha fatto quella richiesta e il server che risponde alla richiesta, tra nessuna possibilità di comprendere i dati da parte di terzi.

Altra cosa è access token sono basati sul tempo, quindi hanno una vita per un periodo specifico, quindi non hanno possibilità di utilizzo in futuro.

Una cosa da considerare è anche il caching.

Il tuo back-end potrebbe vedere diverse chiamate allo stesso URL, con gli stessi parametri GET / POST ma un diverso token di accesso all'intestazione e considerare che il contenuto può essere memorizzato nella cache e può essere sostituito da qualsiasi corpo.