api - 使用 Chrome 身份验证 token xoxc- 访问 Slack API

Question

所以，最近我一直在玩 Slack API，当我在 Chrome 中使用 Slack 时，我想出了如何使用可用的 key 访问 API。我可以访问conversations.history 方法并下载消息。任何有 API 经验的人都知道这是否是正常的事情？为了能够使用应用程序或标准身份验证 token 访问 API(用户 token 的前缀为 xoxp- 和机器人 token xoxb- 和工作区 token xoxa-2。我使用的 token 是 xoxc- 。)这似乎有点不安全，所以我的问题是，API 是否总是像这样容易受到攻击。而且，我猜我不应该像这样访问它，想知道是否有人听说过有人因此遇到麻烦，或者是否可以预期/可以？

Answer 1

这是我从 Slack 那里得到的关于它的回应。
感谢您与我们联系，我很乐意提供帮助。
澄清一下，xoxc token 是 Web 客户端使用的特殊 token 。这些 token 依赖于 cookie，因此即使 token 以某种方式被盗，也不会很有用。
但是，虽然我们可能不会明确阻止它，但不支持或不建议为 API 使用 xoxc token 。我们的 API 方法和范围旨在与 Bot (xoxb) 或用户 token (xoxp) 一起使用。工作区 token (xoxa) token 现在已弃用，因为它们只能在已结束的有限开发人员预览期间创建。
https://api.slack.com/authentication/token-types
当您继续使用 API 时，我建议您创建一个 Slack 应用程序并创建一个适当范围的 token ，如下所述:
https://api.slack.com/authentication/basics#scopes
我希望这有助于澄清，但如果您有任何其他问题，请告诉我。