OAuth 在非密碼保護 SPA 上獲取訪問令牌的流程

Question

我們當前的 API 和受密碼保護的網站目前使用訪問令牌來檢索存儲 URL 和 GA 跟蹤密鑰等信息。 這對於我們使用帶有 PKCE 的授權代碼流和客戶端憑據流的受密碼保護的網站和 API 非常有效。

但是，對於我們的非密碼保護網站（公共），也需要訪問令牌才能從我們的 API 獲取正確信息，我們不確定要使用哪個 OAuth 流。

由於網站 (SPA) 將作為應用程序而不是用戶進行身份驗證，因此在這里使用客戶端憑據流也很自然。 但是，由於該站點是純粹的前端，因此在瀏覽器中簡單地公開客戶端 ID 和客戶端密碼是不對的。 我們知道訪問令牌必須易於獲取（因為它必須在瀏覽器中完成），因此不會“安全”，但我們計划嚴格限制訪問（特定的讀取操作) 這將由這樣的令牌授予。

今后的任何提示或建議將不勝感激。

Answer 1

如果 web 頁面是公開的，那么顯示的任何數據都是公開的，因此您不必關心黑客是否訪問了這些信息。 相應的 API 路由也應該是公共的，並且不需要憑據。

從技術上講，您應該對瀏覽器保密。 SPA 可以調用實現客戶端憑據流的實用程序 API。 這可能會向瀏覽器返回訪問令牌或 cookie，然后 SPA 使用該訪問令牌或 cookie 來調用 API。 然后任何黑客都可以使用 HTTP 工具來獲取令牌或 cookie，然后直接對后端進行攻擊。

為防止出現意外行為，您需要設計端到端解決方案。 UI 和 API 要么都是安全的，要么都是公共的。