使用Spring Security和OAuth2保护Spring Rest - 用户名/密码公开

Question

我正在开发一个spring rest项目并使用OAuth 2.0来保护这些API免受未经授权的访问。

前端：Angular.js 后端：弹簧安置+弹簧安全+的oauth2

一切工作正常：

1）我使用OAuth与以下URI从后端令牌：

。 .../oauth/token？grant_type = password & client_id = angularapp & client_secret = angularapp & username = user5@gmail.com & password = user5 @ 123

2）我从后端获取了一个令牌并使用该令牌来访问API。

现在我的问题是，一旦我打后端与/ OAuth的/令牌？grant_type =密码&的client_id = angularapp & client_secret = angularapp & username=user5@gmail.com &密码= USER5 @ 123

这uri，这是所有在角js文件中的页面，任何人都可以通过查看页面源访问它们。

请建议在js级别隐藏这些证书的方法，如有必要，可以在后端添加一些加密或其他任何工具。

我执行错了吗？请提供正确的路径

谢谢

Answer 1

答案在于智威汤逊代币。不要使用URL编码。 在这种情况下，您的Auth0服务器和API服务器都共享一个秘密加密密钥。有很多JWT框架可以用来避免样板编码。例如：https://github.com/auth0/java-jwt