未经身份验证的攻击者可能获取经纪商的机密 OAuth 客户端密钥，从而控制该经纪商。