如何在休息呼叫中隐藏授权承载？

Question

我们正在开发一个 web 应用程序，该应用程序对 office 365 进行休息调用。在此过程中，在提供必要的详细信息后，我们会从 azure 活动目录中获取一个仅限应用程序的访问令牌。使用此访问令牌，我们可以访问活动目录中存在的所有用户的资源，同时执行各种 Outlook 操作（休息调用！！）。任何人都可以使用 fiddler 或其他 Web 调试器等应用程序查看这些请求和响应。这是一个漏洞，任何可以使用公开可见的访问令牌的人都可以利用该漏洞调用服务器。

可以用下面的图片清楚地提出事情：-

我们明显的问题是，如何避免这种情况以及如何保护我们的休息呼叫，是否需要访问令牌才能到达 Office 365，否则无法执行操作？请帮忙！！

Answer 1

如果您担心您的用户可能滥用令牌这一事实，您可以做的一件事是让所有请求通过您的服务器路由，而不是直接从浏览器进行 REST API 调用。您可以随时将不记名令牌保留在服务器上。您的用户将调用您的 API，然后您的 API（在您的服务器上运行）将使用该令牌代表用户调用 Office 365 API。

但是，您需要考虑用户已针对其 Office 365 进行身份验证/授权的情况，并且令牌不允许他们执行任何不允许的操作。他们根本无法获取该令牌并发出任何他们没有权限的任意请求。

Answer 2

任何人都可以使用以下方式查看这些请求和响应 像提琴手或其他网络调试器这样的应用程序

是的，在本地机器上 - 但是本地用户可能已经过身份验证以进行此操作... 同样，当您在网站上提交付款表单时，您可以使用 Fiddler 在本地获取您的信用卡信息...

调用是（或至少应该是）通过 HTTPS 进行的，HTTPS 对其进行端到端加密 - 因此“嗅探”网络的人不会看到。