Блог

Мы хотим разработать приложение Angular 2 с внешним сервером OAuth2 (IdentityServer4).

Мы также хотим идентифицировать каждого клиента на предмет уникальности. Но как защитить идентификатор клиента в исходном коде Angular 2 / Javascript? Обязательно ли нам работать здесь с CORS и проверять происхождение запроса? Обязательно ли создавать серверное приложение для аутентификации?

Наше мобильное приложение должно использовать идентификатор клиента 12345, Наше приложение Angular должно использовать идентификатор клиента 99999

Но если кто-то другой попытается использовать идентификатор клиента 12345, он должен быть отклонен.

Какова наилучшая практика здесь? — Аутентифицироваться напрямую с помощью Angular? — Использовать для каждого приложения angular серверное приложение для авторизации?

Вы не можете аутентифицировать общедоступных клиентов — для этого нет безопасного способа.

Особенно для клиентов на основе браузера, вы можете использовать только право собственности на общедоступный URL возврата для идентификации клиента.

Это никогда не было возможно — и OAuth2 не меняет эту ситуацию.

OAuth2 работает с парой важных ключей.

Для идентификации одного приложения используются как идентификатор клиента, так и clientSecret. Идентификатор клиента может быть общедоступным, это секрет, который должен оставаться, ну, в общем, секретным :).

Поскольку ваш код будет на стороне клиента, это создает проблему. Я почти уверен, что существует реализация OAuth2, которая работает только на стороне клиента. Честно говоря, я не уверен в его безопасности, поскольку все, что вы делаете на стороне клиента, видно, что бы вы ни делали.

Что я делал в подобных ситуациях, так это создавал небольшой серверный интерфейс, который был дополнительным слоем между клиентским приложением и сервером OAuth2. Это может быть очень простой MVC или очень простой WebApi2, и в нем будут представлены только конечные точки, которые будут использоваться внешним интерфейсом, но его основной обязанностью будет принимать вызов от внешнего интерфейса, добавлять ключи и создавать вызовы OAuth2 для использования фактическим сервером ресурсов. Таким образом, ваши ключи никогда не хранятся во внешнем интерфейсе, и вы можете использовать любой механизм, который вы хотите, чтобы сохранить их в безопасности на внутренней стороне.

Просто сделайте так, чтобы вы всегда передавали эти данные в заголовке аутентификации, и вы всегда будете работать с сервером аутентификации / ресурсов через https соединение.