javascript - 通过 javascript 访问 OAuth2 token 的正确方法

Question

我了解oauth的基础知识，我以前在应用程序中使用过它，但从来没有像这样。

我有一个我写的基于 oauth2 的 api，我正在写一个 javascript 应用程序(在 backbone.js 中)，我想用它访问 api。

我的问题是我需要为 js 应用程序获取访问 token 。通常我会请求一个类似 example.com/oauth2/token?client_id=<client-id>&client_secret=<client-secret>&.... 的 token

如果我的客户端 secret 应该是 secret ，我应该将它放在我的应用程序 js 中吗？

通过 javascript 执行 oauth2 的正确方法是什么？

我的用户/应用程序也是 oauth 的“来源”，因此我不会进行任何类型的第 3 方用户身份验证，因为他们已经登录到该站点。

Answer 1

我认为您应该从服务器获取访问 token 。这样，您的客户端 secret 就在服务器上保密。换句话说，您的服务器将充当 OAuth 交换的代理。