javascript - 为什么 Ember-Simple-Auth 支持刷新 token ？ (JS + OAuth 2.0)

Question

根据我目前在 OAuth 2.0 规范中所读到的内容，不建议将任何 secret 信息存储在可以通过 Javascript 访问的浏览器中。

这里的讨论似乎也同意这一点: Using OAuth2 in HTML5 Web App

我目前正在构建一个基于 Ember 的应用程序作为我的 REST 风格 API 后端的前端，我正在使用 Ember-Simple-Auth 作为处理用户登录的库，它实现了资源所有者密码凭证工作流和还明确支持刷新 token 。

我读到 "Resource Owner Password Credentials" grant type in OAuth 2.0 allows the usage of refresh tokes , 但本段中的文字是针对客户的非常笼统的定义编写的。

由于 Ember.js 是一个用于编写在浏览器中运行的单页 Web 应用程序的框架，我现在想知道...

在 Ember 应用程序中使用刷新 token 是否安全？上面提到的讨论似乎不同意。这导致我:

为什么 Ember-Simple-Auth 支持刷新 token ？

感谢您花时间考虑。最好的!马库斯

Answer 1

使用刷新 token 不如不使用刷新 token 安全的唯一一点是刷新 token 不过期。因此，如果有人对您的机器进行物理访问(或 HTTPS 损坏)，则访问 token 可能已经过期，而刷新 token 仍处于事件状态并且可用于获取新的访问 token (这意味着安全漏洞将永远存在).

应大众需求，Ember.SimpleAuth 内置了对此的支持。不过，有两点要说:除了用户需要确保没有人可以物理访问他们的机器(这是大多数站点所需的安全策略，因为没有站点通常会过期 session 或仅在很长时间后才会过期)它是客户端和服务器仅通过(正确设置)HTTPS 进行通信至关重要。第二件事是 Ember.SimpleAuth 仅在服务器响应中有刷新 token 时才使用刷新 token 。因此，如果您担心这一点(我认为这是正确的)，请不要首先在服务器端启用刷新 token 。