AngularJS 应用程序中的 Spring OAuth2 和身份验证/授权

Question

我已经使用受 OAuth2 保护的 RESTful Web 服务实现了 Spring Boot 后端应用程序。

现在我正在开发应该用 AngularJS 编写的客户端应用程序。

在开发后端应用程序期间，为了验证/授权用户之前的测试，我使用了以下命令（例如 curl）：

curl -X POST -vu clientapp:123456 http://localhost:8080/oauth/token -H "Accept: application/json" -d "password=password1&username=username1&grant_type=password&scope=read%20write&client_secret=123456&client_id=clientapp"

现在我正在考虑从客户端（来自 AngularJS 应用程序）进行用户身份验证/授权的方法。

我认为将client_secret 和client_id 之类的信息放在客户端（互联网浏览器）的某个位置并不安全。我对么 ？如果是这样，您能否告诉我如何使用我的 OAuth2 和 AngularJS 对用户进行身份验证而不违反安全性的正确方法。

Answer 1

OAuth 2.0 支持不同的授权类型（有时称为“流”）。 OAuth 为您的用例提供了一个特殊的 Grant-Type：implicit grant - 它可以在没有客户端密码的情况下工作。