javascript - OAuth 完整的 Javascript 访问权限，安全问题？

Question

我正在为我的 API 实现服务器端 OAuth。我看过here Google 允许完整的 javascript 编写的应用程序使用其 API。

在这种情况下，因为我们处于“查看源代码”环境中，所以我们没有使用客户端密码，因此我们无法确定应用程序的身份。

例子:如果我看到 Google 的完整 JavaScript 应用程序，我只需要查看源代码，获取客户端 key ，然后将经过编辑的代码版本放在我自己的网站上。如果用户在第一个网站上接受了该应用程序，我将能够使用他的数据(由于该应用程序被接受，用户将完全看不到接受部分)。

即使用户必须重新接受该应用程序，如果他接受了，我将以第一个应用程序身份访问。

我对这种方法有点害怕，我很惊讶谷歌没有在文档中和授权阶段公开不同的风险。我一定是遗漏了什么……你能帮帮我吗？

我不太确定我是否让我明白了，但如果您有任何问题，请提出。

(对不起我的英语)

Answer 1

你是对的。在您的应用程序中可见的数据是 client id 和 client secret。当用户验证您的应用程序时，您将获得一个访问 token ，您必须将其用于以下 API 请求。访问 token 通常存储在本地数据库中，对每个用户都是唯一的(甚至可能过期)。

后果:有权访问 client id 和 client secret 的恶意用户必须重新接受应用程序才能获得访问权限给它。他不能直接访问它，因为他没有access token。但在接受之后，他可以访问所有数据。

解决此问题的一种方法是在服务器端执行授权。您的服务器执行初始授权并存储访问 token 。当您想从客户端访问 API 时，您会从您的服务器(通过安全连接)获取访问 token ，您应该能够正常使用 API，并且你的 client id 和 client secret 是隐藏的。一个简单的实现方法是 Yahoo Query Language .