Authentication OAuth2对于web应用程序的安全性如何 让我们考虑使用HTML和JavaScript开发的单页客户端应用程序。p>

在这种情况下，即使使用隐式或身份验证代码流来请求访问Tokes，仍然可以在一些Javascript中找到clientID和Secret，这些Javascript可能会发出令牌请求。另外，在请求头（或查询参数）中传递访问令牌在网络跟踪中仍然可见。此外，访问令牌需要本地存储在浏览器中

• 将OAuth2用于基于web的应用程序有多安全
• 如果客户端（浏览器）受到破坏，如何保护用户信息

---

谢谢。

对于隐式OAuth，您不需要在浏览器javascript中使用客户端密码。您只需要客户端ID。客户端ID不是秘密，被视为公共信息。客户端ID和作用域标识您希望授权的服务权限

将OAuth2用于基于web的应用程序有多安全

OAuth本身是非常安全的。然而，与任何安全实现一样，它只与最薄弱的组件一样强大。对于隐式授权流，例如单页web应用程序，身份验证发生在用户和身份提供者之间。流程完成后，您的应用程序将拥有一个访问令牌和一个可选的客户端ID令牌。隐式授权流的假设是，用户出现在浏览器中，不会存储任何机密信息

如果客户端（浏览器）处于禁用状态，则如何保护用户信息 妥协

如果用户的浏览器受损，则无法保护任何内容。生成具有执行

X

权限的OAuth令牌后，受损浏览器可以继续执行

X

，直到令牌过期

如果您的问题是关于保护用户的登录名和密码，或其他类型的身份验证信息，那么如果浏览器受到破坏，这些信息也会有风险

总之，无论使用何种技术进行身份验证和授权，受损浏览器都可能没有安全性。

我建议您阅读并