Javascript iframe小部件的OAuth2.0

我有一个带有公共API的网站：

mysite.com api.mysite.com (protected with OAuth2.0) mysite.com api.mysite.com（受OAuth2.0保护） 我的网站将允许其他网站所有者在他们的页面上放置iframe小部件，类似于Facebook好友小部件。当消费者登录到小部件时，我需要它与我的公共API通信。我目前有一个三条腿的认证设置：

使用clientId请求代码

使用clientId、clientSecret和代码请求accessToken

进行如下API调用：https://api.mysite.com/me?access_token=12345

https://api.mysite.com/me?access_token=12345

---

我的API是无状态的（没有会话），并且依赖访问令牌来验证每个请求。如何设置javascript小部件以与OAuth2API通信？我的第一个想法是将访问令牌存储在cookie中，但我知道这是不安全的

iFrame的内容是否会托管在您的网站（mysite.com“>）上？如果是，那么您为什么需要使用公共API？框架的内容来自您的服务器。iFrame的内容将托管在API上