ASP.NET WebAPI安全性 - 刷新令牌和客户端密钥

Question

我正在尝试使用Angular和Asp.net WebAPI作为数据服务器创建SPA。

对我来说，如何正确保护我的网站是一个问题......

OAuth令牌是一种流行的解决方案，这意味着我应该存储auth_token， 某处的refresh_toke，客户端ID和客户端密码。

不应将Client_secret暴露给前端级别。

这是否意味着我需要一个新的Asp.Net Mvc层来安全地存储客户端密钥？

而且我的流程看起来像：

1. Angular（发送新令牌请求）
2. Asp.Net Mvc（使用refresh_token +会话中的客户端密钥并调用web api）
3. Asp.Net WebApi（返回新的access_token）

那么如何安全地存储refresh_token和client_secret以及在Asp.Net WebApi中获取新的访问令牌的主要问题呢？