将秘密令牌传递给JS视图

Question

我有一个带有Backbone前端的Rails应用程序，并且存储了用户的Google auth令牌以便稍后重用。从安全的角度来看，将它传递给Javascript代码的最好方法是什么？到目前为止，我只能用嵌入页面的方式来创建。有没有更安全的选择？

Answer 1

您可以在js代码中使用它。只要启用HTTPS并强制客户端使用它，这不会对您的应用程序造成安全威胁。否则，攻击者可以获得您的客户端在中间人攻击时的API密钥。

Html内容只能由相关客户访问，他们也可以从您的应用程序中看到他/她自己的密钥。但是，如果您考虑将API密钥更改为客户端篡改的其他用户。您可以构建代理API。

客户端请求--->您的API --->重定向请求，谷歌

在这种情况下，你不需要API密钥发送给客户端。你可以从数据库获取api密钥并构建并发送请求到谷歌驱动器。

Answer 2

我把它放在饼干里。其他选项是（按降序安全的顺序排列）： -

• 落实称为REST端点说fetchAccessToken
• 嵌入在提供的页面
• 添加到重定向URL作为哈希（不是很安全： - ））