javascript - hello.js 如何避免存储 client_secret？

Question

我目前的任务是弄清楚如何严格从客户端 JavaScript 充分利用 OAuth 2.0 提供程序，并且担心会暴露应用程序的 client_secret。这本质上是 OAuth 客户端的“密码”。

hello.js 怎么样？一起避免 client_secret 吗？

这些提供商是否依赖引荐来源网址和应用程序域来验证(识别)客户端请求？

Answer 1

HelloJS 默认使用隐式流程 - @dandavis 在他的评论中描述。如果服务不支持隐式授权流程，则可能支持 OAuth2 身份验证代码/显式授权或 OAuth1 身份验证流程 - 以上所有内容都需要在处理请求时使用隐藏 key - HelloJS 通过 OAuth 代理转移请求(参见 http://adodson.com/hello.js/#oauth-proxy )代理的工作是完成握手并返回 access_token。