授权令牌：OAuth 位于 Django 后端，前端调用第 3 方 API。 这是一个坏主意吗？

Question

我正在学习 Django 并且有一个应用程序的想法，该应用程序可以访问 Microsoft Graph API 上的数据，供 outlook 服务的用户使用。

似乎最干净的方法是使用像 django-all-auth 这样的 package 来处理在后端获取和存储授权令牌。 Graph API 网站上还有一个使用 python-social-auth 的示例。

However, I've been informed here that I can use a library like jQuery to make the API call directly, meaning the JSON data returned from the 3rd party API could bypass my server and go directly to the user's browser.

对于需要授权的第 3 方 API，我需要从我的 django 后端到前端获取身份验证令牌，以便它可以在 Ajax 请求中使用。

我很欣赏在浏览器中使用隐式或 PKCE 流的选项。

但是，作为替代方案，我有一个想法，即我可以使用服务器端 OAuth 流将访问令牌和刷新令牌存储在后端，然后将身份验证访问令牌从 django 后端发送到用户的浏览器以确保安全从那里存储和使用。

在我看来，这样做的好处是，如果用户的访问令牌过期，您可以调用后端以使用刷新令牌以提供新的身份验证令牌，从而要求用户登录更少的次数.

我也看不出这比隐式流程更不安全，尽管我没有看到它并不意味着它不存在！

我知道我必须使用 SSL 来避免任何恶意行为者窥探令牌。 我还需要考虑 CSRF 和 XSS 漏洞，但幸运的是 django 提供了针对这两个漏洞的解决方案。

这种方法会是一个坏主意并被认为是不好的做法吗？

我考虑这一点的理由是，如果我可以在将页面模板中的 JSON 响应发送到用户的浏览器之前，去掉中间步骤，它将大大减少我的服务器的开销。

Answer 1

我认为我所描述的是here ，尽管使用不同的框架。

如果其他人读到这篇文章并认为我的提议有问题，请告诉我。