javascript - Azure 应用程序客户端 ID 存储在前端是否安全？

Question

在 Microsoft 网站上，他们提供了多个示例，介绍如何使用 msal 在 SPA 中对 Azure AD 用户进行身份验证。在所有这些examples 应用程序(客户端)ID 以纯文本形式存储在代码中或简单的 .json 文件中。

我的问题是，考虑到存储在前端的所有内容都被认为是公开的，将应用配置(例如 Azure(客户端)ID)简单地存储在 json< 中是否是一种不好的做法？/ 文件？或者将其更好地存储在 .env 文件中？

这些是应用程序运行所需的详细信息:

AZURE_APP_CLIENT_ID=""
AZURE_APP_AUTHORITY=""
AZURE_APP_REDIRECT_URI=""
AZURE_APP_POST_LOGOUT_REDIRECT_URI=""

API_URI=""
API_AZURE_EXPOSED_SCOPE=""

Answer 1

好吧，OAuth RFC 将其定义为非 secret :https://www.rfc-editor.org/rfc/rfc6749#section-2.2

The client identifier is not a secret; it is exposed to the resource owner and MUST NOT be used alone for client authentication.

当用户登录时，客户端 ID 将在 URL 中可见。将其存储在前端是完全可以的。

当用户登录时，所有这些内容都可以在 URL 中看到:

• Azure AD 租户 ID
• 应用客户端 ID
• 应用请求的范围(可以包括 AAD 中 API 的客户端 ID/应用 ID URI)
• 应用重定向 URI