在前端公开 Doorkeeper 应用程序的 client_secret 是否非常危险？

Question

我的问题是在前端（React / React Native）中有client_secret是否非常危险，因为在门卫生成的所有api端点中，您必须放置client_id和client_secret。

如果它很危险，我该如何隐藏它？ 我正在考虑覆盖令牌 controller，类似于此，但它对我不起作用，它无法识别参数。

# app/controllers/token_controller.rb
class TokenController < Doorkeeper::TokensController
  before_action :set_client_key

  private
    def set_client_key
      params[:client_id] = Doorkeeper::Application.find_by(name: "Web client").uid
      params[:client_secret] = Doorkeeper::Application.find_by(name: "Web client").secret
    end
end

# config/routes.rb
Rails.application.routes.draw do
  resources :users, only: %i[create]
  use_doorkeeper do
    skip_controllers :authorizations, :applications, :authorized_applications
    controllers :tokens => 'token'
  end
  devise_for :users
end

我们的想法是调用 api，如下所示：

POST http://localhost:3000/oauth/token
User-Agent: vscode-restclient
Content-Type: application/json

{
    "client_id": "xxx",
    "grant_type": "password",
    "email": "a@a.a",
    "password": "123456"
}

省略 client_secret 以免在客户端上公开它。

我得到的错误是：

ActiveRecord::NotNullViolation (PG::NotNullViolation: ERROR:  null value in column "application_id" violates not-null constraint

这是因为它没有检测到client_secret。

我按照本教程配置了门卫