OAuth2 授权代码流 - 在前端 VS 后端交换授权代码？ [关闭]

Question

关闭。 这个问题是基于意见的。 它目前不接受答案。

---

想改进这个问题？ 更新问题，以便可以通过编辑这篇文章用事实和引文来回答。

2 年前关闭。

改进这个问题

我正在开发一个带有 Angular 前端和 Java/Spring 后端的应用程序。 为了登录到我们的后端，我们使用带有 PKCE和Open ID Connect的 Oauth2 授权代码流。

当用户导航到受保护的路由时，他将被重定向到他的 IDP 并必须登录。 之后，他返回到 redirect_uri，其中 authorization_code 作为 URL 参数。 到目前为止一切都很清楚。

现在我不确定将此代码交换为 access_token 的最佳方法是什么？ 到目前为止，我已经在客户端（在 JavaScript 中）完成了此操作，并将收到的 JWT 用于进一步的后端调用（在后端我只是验证签名）并且这似乎确实有效。 但在其他项目中，我看到同事实际上使用了类似于代理的后端。 所以他们将 authorization_code 发送到 Java 后端，后端进行交换。

现在我读了很多书，但似乎无法理解其中的全部含义。 在我看来，让客户端/前端这样做更安全。 但另一方面，后端实际上是可信的，所以在这种情况下我们实际上可以使用 client_secret。

现在的问题是：这两种情况都被认为是安全的吗？ 或者被认为更安全，如果是这样：为什么？

提前致谢

*编辑：澄清一下——我们真的不需要访问另一个资源服务器，用例是我们只想安全地通过我们自己的后端进行身份验证——一旦通过身份验证，我们无论如何都会切换到 session cookie，所以我们不根本不要将 access_token 存储在任何地方

Answer 1

将令牌保留在后端始终是一种更安全的方法，因为它减少了攻击面并使客户端中的代码更加简单。

一个好的起点是看一下这个 BCP

• OAuth 2.0 用于基于浏览器的应用程序（第 6.2 节）

另一个参考是：

• 备忘单：OAuth 用于基于浏览器的应用程序（例如 JavaScript SPA）

为了使您的 JavaScript 简单，我会在后端进行所有客户端身份验证，当后端获取令牌时，然后与您的客户端一起创建 session。 这样，JavaScript 客户端就不需要接触任何令牌。 您的内部资源/API 将通过负责 session 的服务访问。简洁明了：:-)

是的。 我认为典型的错误是让 JavaScript 碰你的代币。 知道令牌仅在后端处理，您晚上会睡得更好，而且，安全复杂性和您必须掌握和理解的东西更少！ 我们必须与复杂性作斗争！

Answer 2

实际的授权码只能使用一次，所以无论是从前端还是后端发送都没有关系。

这里有两种常见的模型：

选项 1：WEB 后端/代理模式

如果您想将令牌保留在浏览器之外并仅使用 HTTP cookies 作为后端凭证，则使用此方法：

• Web 后端发布相同的域 HTTP 仅 cookie 并将令牌存储在数据库或 cookie 本身中
• Web UI 通过首先使用 cookie 调用 web 后端来进行所有 API 调用
• Web 后端然后查找令牌并将它们转发给 API
• 需要应对CSRF、XSS等web威胁

挑战是：

• 比你想要的更复杂
• 一些架构限制

选项 2：SPA 模式

这是您正在使用的跨域 model 并且在技术上更简单一点::

• Web UI 通过发送访问令牌进行 API 调用
• 您需要处理 XSS 等威胁，并特别关注确保在浏览器中使用令牌的安全性不亚于使用 cookies
• 您需要在浏览器中以安全的方式存储令牌，例如 memory

挑战是：

• 如果您在安全方面存在漏洞，它们将更容易被利用，因为用户可以更轻松地看到他们自己的令牌
• 在这个 model 中，令牌更新和交叉表导航方面比较棘手。

因素

这些是做出选择时的主要因素：

• 安全威胁 model - 令牌 v cookies 和其他因素
• Web UI 的更广泛的架构目标
• 利益相关者的看法通常是最大的考虑因素

无论您做出什么决定，我都建议您从需求开始，而不是从特定的技术堆栈开始。

我的资源

我更喜欢选项 2，因为我认为架构选项要好得多，但它需要小心。 以下链接有望帮助您了解我是如何推理出我的首选解决方案的：

• Web 架构目标
• 威胁 Model - Cookies v 代币
• 结束 State 和云部署

虽然不是每个人都同意我的看法。 有时在软件中有多种解决方案。 重要的是涵盖了安全威胁。 您可以使用任何一种解决方案来做到这一点。

Answer 3

当您从客户端调用令牌时，它不是授权流程，而是隐式流程，当您没有后端时可以使用它，而当您有后端时，您始终应该使用您提到的授权代码流程。 您可以在此处了解有关 openid 流的更多信息。

授权代码流被认为更安全，因为它使用带有 idp 的反向通道通信（服务器到服务器）来接收令牌，而隐式流从浏览器发送请求。

Answer 4

使用 PKCE 发送客户端调用是一项新技术，它被认为是安全的，但绝对授权代码流是后端更好的选择。