GithubApp：将安装令牌存储在Web客户端上是个好主意吗？

Question

我正在通过集成API https://developer.github.com/v3/apps/构建github应用。

经过身份验证的用户需要能够从github存储库中选择文件。 目前，我正在通过后端服务器将所有请求（例如列出安装，存储库和git数据树）代理到github。

我正在考虑给我的Web客户端一个github的安装令牌 ，并将其保存在sessionStorage 。 这将允许直接从Web浏览器临时执行对github的任何与安装相关的请求。 因此，我可以通过直接从Web客户端调用github api来列出存储库/文件，而无需通过后端api进行代理。

这种方法会不会有安全性问题？

据我了解，这样做应该是安全的，因为客户端秘密和私钥保存在后端。 仅向用户颁发令牌，该令牌临时向其自己的安装授予API访问权限。 我无法想象用户会做任何恶意操作。 另外，由于令牌是临时令牌，因此第三方可以从sessionStorage窃取令牌的风险相当低。

Answer 1

我已经将GitHub安装访问令牌用于多个应用程序。 只要pem文件和应用程序ID在安全的位置，我就不会看到任何安全问题。 生成令牌是一个分步骤的过程（根据我的记忆，该过程为3步），因此，如果您没有适当的权限访问存储库，则存在一定的错误范围。