javascript - OAuth2 - 如何在没有客户端 key 的情况下授权？

Question

我想创建一个前端应用程序。该应用程序应连接到 Strava API。在 authentication documentation ，他们说需要客户端 key 才能获取 access_token。我不想将我的客户端 key 存储在我的 JavaScript 代码中。

我找到了blog post他们解释了一种不需要传递客户端 key 的方法，但它不起作用，我收到授权错误。

是否可以在没有客户端 key 的情况下获取access_token？如果没有，最好的解决方案是什么？

Answer 1

您正在寻找隐式授予流(两条腿)-https://www.rfc-editor.org/rfc/rfc6749#section-1.3.2

Strava 似乎只实现了更安全的授权代码授予流程(三足)，并强制您拥有一个保存 secret 的服务器来完成握手 - https://www.rfc-editor.org/rfc/rfc6749#section-4.1