angular - 在公共(public)存储库中公开 Okta clientId 是否安全？

Question

要在 Angular 应用程序中配置 Okta 身份验证，需要在 app.module.ts 中为您的 OIDC 应用程序添加一个 config 变量和设置 文件。 source

const config = {
    issuer: 'https://dev-123456.oktapreview.com/oauth2/default',
    redirectUri: 'http://localhost:4200/implicit/callback',
    clientId: '{clientId}'
};

其中 {clientId} 被替换为实际的 clientId。

将此应用程序推送到公共(public)存储库意味着 clientId 公开给所有人查看。我的问题是这是否会形成任何类型的安全风险？

在我的研究中，我发现了一些关于 Firebase 使用的 apiKey 的类似问题:

• Is it safe to expose Firebase apiKey to the public?
• Do you need to hide your Firebase API keys for Ionic apps?

就 Firebase 而言，共享 apiKey 似乎没有什么坏处。但是不知道Okta的clientId是不是采用了类似的原理？

我还在 Github 上研究了一些实现 Okta 身份验证的公共(public)存储库。这些存储库中的大多数似乎公开了 clientId，这让我假设共享 clientId 没有问题。真的是这样吗？

Answer 1

将您的客户端 ID 放入 GitHub 存储库应该不会有任何安全问题。该值类似于汽车上的牌照。它只是一个标识符，并定期在授权请求的 URL 中传递。

客户端 secret 是您不想公开的值。它不应存储在源代码管理中。我建议存储一个虚拟值并用环境变量覆盖它。