通过 javascript 访问 OAuth2 令牌的正确方法答案

【问题标题】：Proper method for accessing OAuth2 tokens via javascript通过 javascript 访问 OAuth2 令牌的正确方法
【发布时间】：2011-10-04 00:21:32
【问题描述】：

我了解 oauth 的基础知识，并且之前在应用程序中使用过它，但从来没有这样。

我有一个我写的基于 oauth2 的 api，我正在写一个 javascript 应用程序（在主干.js 中），我想用它访问这个 api。

我的问题是我需要获取 js 应用程序的访问令牌。通常我会请求一个类似example.com/oauth2/token?client_id=<client-id>&client_secret=<client-secret>&....的令牌

如果我的客户端密码应该是，secret，我应该把它放在我的应用程序 js 中吗？

通过 javascript 执行 oauth2 的正确方法是什么？

我的用户/应用程序也是 oauth 的“来源”，因此我不会进行任何类型的第 3 方用户身份验证，因为他们已经登录到该站点。

【问题讨论】：

【解决方案1】：

我认为您应该从服务器获取访问令牌。这样，您的客户端机密就在服务器上保密。换句话说，您的服务器将充当 OAuth 交换的代理。

【讨论】：

这是我最初的想法。在服务器上有一个我可以请求的通用端点，并吐出一个新的访问令牌。现在，服务器是用户，但这可能会改变。
这里是 facebook 应用程序在 javascript 端处理它的方式：developers.facebook.com/docs/authentication search for "Client-side Flow"
就我而言，没有用户登录对话框。我的应用程序是用户客户端。