HTML5 SPA 认证

Question

到目前为止，我们有一个使用 Spring Security OAuth2 的身份验证服务，它实现了以下授权类型：client_credentials 和密码。

要获取令牌，客户端（可能是 HTML5 SPA 客户端）必须存储 client_id 和 secret 以获取具有 client_credentials 或密码授权类型的不记名令牌。在这种情况下，client_id 和 secret 将存在于 HTML5 应用程序源中并且任何人都可以获取它，因此它不是很安全。

除了 client_credentials 或密码之外，是否有其他流程？

Answer 1

一般来说，对于 SPA，推荐的授权协议是 OAth with Implicit grant。

您可以在这里阅读更多关于如何在 Azure Active Directory 中实现的信息（它是免费的）：https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-dev-understanding-oauth2-implicit-grant

这里：https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-v2-protocols-implicit