JS에서 OAuth를 구현하고 Consumer Secret 및 Key를 표시하는 것이 좋습니까?

Question

크롬 용 Twitter 클라이언트를 개발하고 싶습니다. Chrome 용 기존 Twitter 확장 프로그램의 JS 파일을 보았습니다. 그리고 그들의 소비자 열쇠와 비밀이 노출되어있는 것을 발견했습니다. 나는 그것이 그것이되어야하는 방법이 아니라고 믿습니다.

의견 ()을 서버 측에서 공유하고 싶습니다. 해당 사용자는 내 웹 사이트에 가입해야합니다. 그 웹에 oAuth를 써라. 나는 그들의 접근 토큰을 저장할 것이다. Chrome 확장 프로그램을 설치할 때도 마찬가지입니다. 나는 그들에게 로그인하도록 요청할 것이다. 그리고 그들이 짹짹 울 때마다, 나는 그들의 액세스 토큰을 온라인으로 가져와 그들의 짹짹이 가능하게 만들 것이다.

이렇게하면 내 키가 숨겨진 상태로 유지됩니다. Chrome OAuth을 사용하고 싶지 않습니다.

OAuth의 서버 측 구현이 JS 구현보다 낫다고 생각합니까?

Answer 1

이 데이터를 공유하는 것이 일반적으로 더 좋은 아이디어는 아니지만 Chrome 확장 프로그램이 더 많은 프런트 엔드 개발이므로 (확장을 위해 자체 서버를 유지하지 않는 한 ...) 더 어렵다고 생각합니다.). OAuth 자격 증명을 노출하는 데 너무 많은 위험이 있다고 생각하지 않습니다. 악의적으로 트위터를 공격하는 경우 트위터가 액세스를 차단하고 새로운 키를 신청할 수 있습니다. 사용자 키는 안전하게 자신의 컴퓨터에 저장되므로 사용자 데이터는 괜찮습니다. 확장 프로그램에서 OAuth2 프로토콜을 구현할 수있는 쉬운 방법을 찾고 있다면 여기에 내가 작성한 유틸리티가 있습니다.

https://github.com/jjNford/oauth2-chrome-extension

나는이 구현 this extension에서 내 자신을 사용합니다.