用javascript保护REST OAuth的API客户端

Question

我目前正在使用OAuth进行身份验证的laravel中构建一个REST API，简而言之，所有API都像一个持久层一样工作。

这是请求外观的示例。 我正在使用终端彻底卷曲或api测试工具进行测试

http://example.com/api/auth_token

// Parameters
grant_type: password
client_id: 12312312
client_secret: 56565567
username: fake@fake.com
password: pass

这将返回一个小时有效的访问令牌。 然后，此令牌必须用于实际请求。

现在我想在诸如angular，jquery或简单的javascript之类的前端框架上使用此api，但是如果我这样做，我将暴露用户凭证，对吗？ 因为没有办法用javascript保护它。

我知道必须有一种方法，因为这是当今RESTFULL系统工作方式的一种非常常见的方法。 有人知道它是怎么做的吗？

Answer 1

制作一个HeaderToken，该令牌将在每个请求中传递。 请参阅此http://devcenter.kinvey.com/rest/guides/security