我应该使用哪个流量？

Question

我正在申请，该申请应由公司使用，并应用于共享文件，文件的批准，特殊事件以及该公司的其他事情... 我读到隐式流程对JS appps更好。 我将使用Spring boot和jQuery作为前端，并且该应用程序应仅由该公司的员工使用...因此，基本上，为他们安全地存储“秘密”应该不那么困难...所以我正在考虑而是代码授权流程...

1）在您看来，我应该使用哪种流程？ 2）应该将“ client_id”和安全秘密存储在哪里？

谢谢

Answer 1

代码流比隐式流更安全，但技术上更复杂。

您的问题：

1. 代码流更安全，更多的安全性总会更好，但也需要花费更多的时间来实现。
2. 使用隐式流，因为您将登录委派给身份验证服务器，所以没有client_id和secret。

如果使用代码流，则必须在应用程序和授权服务器之间具有中间服务。那就是您存储client_id和secret的地方。通常称为“ BFF”或“后端后端”。