来自 JS SPA 的公共 OAuth

Question

我们有一个 JS 客户端，它通过 CORS 直接与 API 对话。此 API 受 OAuth 保护。

我们需要在用户登录之前与此 API 对话，这样我们就无法访问资源所有者授予令牌。

我们可以使用客户端凭据，但我们必须在客户端资产 (js) 中公开 clientId 和 clientSecret。

当您没有用户令牌时，从 JavaScript 访问 OAuth API 的最佳做法是什么？

Answer 1

听起来您有两种类型的 API 调用：

• 在登录之前，您无需访问令牌即可访问公共信息
• 登录后，您必须提供访问令牌才能访问私人数据

授权码流 (PKCE) 是获取令牌的标准方式，如我的Messages Write Up。