Проверка подлинности HTML5 SPA

Question

На данный момент у нас есть служба аутентификации с использованием Spring Security OAuth2, которая реализует следующие типы грантов: client_credentials и пароль.

Чтобы получить токен, клиенту (потенциально клиенту SPA-клиента HTML5) необходимо будет хранить client_id и секрет, чтобы получить токен-носитель либо с типом client_credentials, либо с типом предоставления пароля. В этом случае небезопасно, так как любой клиент_ид и секрет будут жить в источнике приложений HTML5, и любой может его получить.

Есть ли другой поток для этого, кроме client_credentials или пароля?

Answer 1

Вообще говоря, для SPA s рекомендуемый протокол авторизации OAth с неявным грантом.

Вы можете прочитать немного больше о том, что реализуется в Azure Active Directory (бесплатно) здесь: https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-dev-understanding-oauth2-implicit-grant

и здесь: https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-v2-protocols-implicit