Spring OAuth2 和 AngularJS 應用程序中的身份驗證/授權

Question

我已經使用 OAuth2 保護的 RESTful Web 服務實現了 Spring Boot 后端應用程序。

現在我正在開發我的客戶端應用程序，它應該用 AngularJS 編寫。

在開發后端應用程序期間，為了驗證/授權用戶之前的測試，我使用了以下命令（例如使用 curl）：

curl -X POST -vu clientapp:123456 http://localhost:8080/oauth/token -H "Accept: application/json" -d "password=password1&username=username1&grant_type=password&scope=read%20write&client_secret=123456&client_id=clientapp"

現在我正在考慮從客戶端（來自 AngularJS 應用程序）進行用戶身份驗證/授權的方法。

我認為將client_secret和client_id等信息放在客戶端（互聯網瀏覽器）的某個地方是不安全的。 我對么 ？ 如果是這樣，您能否告訴我如何在不違反安全的情況下使用我的 OAuth2 和 AngularJS 對用戶進行身份驗證的正確方法。

Answer 1

OAuth 2.0 支持不同的授權類型（有時稱為“流”）。 OAuth 為您的用例提供了一個特殊的授權類型： 隱式授權- 它無需客戶端機密即可工作。