oauth - 在 Chrome 扩展程序和 Gmail 小工具中安全处理 OAuth 使用者 key 和 secret

Question

我想获得一些关于在 Chrome 扩展和 Gmail 小工具中正确处理 Salesforce OAuth 消费者 key 和 secret 的想法。 Chrome 扩展程序本质上是用 zip 兼容格式包装的 Javascript。如果我需要构建一个代表用户调用 Salesforce API 的扩展程序，我必须将 Salesforce 生成的应用程序 OAuth 消费者 key 和 secret 嵌入到扩展程序的 Javascript 中。这会造成 OAuth 使用者 key 和 secret 泄露以及可能的滥用的可能性。

我很好奇其他开发人员如何处理 Chrome 扩展中的这些 OAuth 消费者 key 和 secret 。

Google 为需要访问 Google API 的 Chrome 扩展程序提供匿名消费者 key 和 secret 。但是 Salesforce 不提供类似的 OAuth 设置。这是 Salesforce OAuth 2.0 实现的路线图吗？

Answer 1

这里有几个选项。

1) 通过您自己的服务器运行代理，通过您自己的 API 保护 secret 并限制允许的方法。这也将允许您立即更新 API key ，而不是更新扩展的潜在天数。

2) 混淆扩展/小工具代码中的 secret 。您可能很难找到，但使用 Chrome 可以很容易地在开发工具网络选项卡中挑选出 key 。

3)说把它搞砸，把它们留在代码中，并确保使用这些 secret 不会造成实际损害。

至于 Salesforce 的路线图，您可能需要询问他们，他们可能不会发表评论。