Bezpieczeństwo aplikacji webowych · Middle · Pytanie 55 z 75
Dlaczego aplikacja w przeglądarce nie powinna trzymać client secret OAuth?
- 1Bo sekrety wygasają co minutę
- 2Bo client secret jest za długi dla tekstów JavaScript
- ✓Poprawna odpowiedź: Wszystko w przeglądarce jest publiczne, więc SPA to klient publiczny i musi polegać na PKCE
Wyjaśnienie
Klienci poufni działają na serwerze. Jeśli SPA potrzebuje takiego poziomu, sekret i tokeny może trzymać backend-for-frontend.