使用laravel护照时如何防止暴露客户秘密？

Question

我正在尝试实施 laravel 的通行证来保护我的 api 路由，并且我遇到了一个情况，即除非授权应用程序调用该路由，否则该路由应该是不可访问的。我正在尝试使用Client Credentials Grant Tokens 并使用邮递员我能够生成访问令牌，然后我可以将其用于访问授权。

问题是 - 我不明白如何安全地将其与 Vue 和 axios 一起使用。我有我的组件，我需要在其中调用这个 api，我当然可以设置一个包含所有必要字段（client_id、client_secret 和grant_type）的表单主体，但这意味着任何人都可以打开 chrome开发工具并在源代码中搜索client_secret，他们将获得硬编码的客户端密码，这将授予他们对api的访问权限。这样做的正确方法是什么？

Answer 1

这取决于你如何使用你的 Vue 前端。

如果它主要是您自己网站的前端，但有时需要访问外部 API，那么您应该让后端进行 API 调用并在那里存储机密。

如果您正在开发专用于外部 API 的 Vue 前端，但在不同的域上运行，您可以选择 PKCE 选项：https://laravel.com/docs/8.x/passport#code-grant-pkce

如果你的前端与 API 在同一个域中，请使用 Laravel 护照提供的 CreateFreshApiToken 选项。