rest - 如何在休息通话中隐藏授权持有者？

Question

我们正在开发一个 Web 应用程序，该应用程序可以对 Office 365 进行其余调用。在此过程中，我们在提供必要的详细信息后，从 azure Active Directory 获取仅限应用程序的访问 token 。使用此访问 token ，我们可以访问事件目录中存在的所有用户的资源，同时执行各种 Outlook 操作(其余调用!!)。任何人都可以使用 fiddler 或其他 Web 调试器等应用程序查看这些请求和响应。任何可以使用公开可见的访问 token 的人都可以利用此漏洞来调用服务器。

可以使用以下图像清楚地表达事物:-

我们明显的问题是，如何避免这种情况以及如何保护我们的休息调用，必须采取访问 token 才能到达 Office 365，否则无法执行操作？请帮忙!!

Answer 1

如果您担心用户可能滥用 token ，您可以做的一件事是让所有请求都通过您的服务器路由，而不是直接从浏览器进行 REST API 调用。您始终可以将不记名 token 保留在服务器上。您的用户将调用您的 API，然后您的 API(在您的服务器上运行)将代表使用该 token 的用户调用 Office 365 API。

但是，您需要考虑这样一种情况:用户已针对其 Office 365 进行身份验证/授权，并且 token 不允许他们执行任何不允许的操作。他们根本无法获取该 token 并发出任何他们没有权限的任意请求。