Sicherheit von Webanwendungen · Middle · Frage 55 von 75
Warum sollte eine Browser-App kein OAuth-Client-Secret halten?
- 1Weil Secrets jede Minute ablaufen und sich nicht erneuern lassen
- 2Weil Client-Secrets zu lang für JavaScript-Strings sind
- 3Alles im Browser ist öffentlich, eine SPA stützt sich also auf PKCE
Antwort zeigen
Richtige Antwort: Alles im Browser ist öffentlich, eine SPA stützt sich also auf PKCE
Erklärung
Vertrauliche Clients laufen auf einem Server. Braucht eine SPA dieses Niveau, kann ein Backend-for-Frontend Secret und Tokens halten.