从Pure JavaScript App安全发送客户端密钥

Question

我想从我的JavaScript应用程序中将客户端密钥发送到Web API。

在收到client id后，我的机密API将为以后的API调用返回令牌。

此方法存在安全问题。 客户ID和客户机密可以被中间人窃取，并且可以对应用程序进行黑客攻击。确保此流程安全的最佳方法是什么？ 注意：隐式授予在这里没有用，因为我不希望用户重定向到身份验证服务器进行身份验证。