使用Spring Security和OAuth2保護Spring Rest - 用戶名/密碼公開

Question

我正在開發一個spring rest項目並使用OAuth 2.0來保護這些API免受未經授權的訪問。

前端：Angular.js 後端：彈簧安置+彈簧安全+的oauth2

一切工作正常：

1）我使用OAuth與以下URI從後端令牌：

。 .../oauth/token？grant_type = password & client_id = angularapp & client_secret = angularapp & username = user5@gmail.com & password = user5 @ 123

2）我從後端獲取了一個令牌並使用該令牌來訪問API。

現在我的問題是，一旦我打後端與/ OAuth的/令牌？grant_type =密碼&的client_id = angularapp & client_secret = angularapp & username=user5@gmail.com &密碼= USER5 @ 123

這uri，這是所有在角js文件中的頁面，任何人都可以通過查看頁面源訪問它們。

請建議在js級別隱藏這些證書的方法，如有必要，可以在後端添加一些加密或其他任何工具。

我執行錯了嗎？請提供正確的路徑

謝謝

Answer 1

答案在於智威湯遜代幣。不要使用URL編碼。 在這種情況下，您的Auth0服務器和API服務器都共享一個祕密加密密鑰。有很多JWT框架可以用來避免樣板編碼。例如：https://github.com/auth0/java-jwt