Веб-безпека · Middle · Запитання 55 з 75
Чому браузерний застосунок не повинен тримати client secret OAuth?
- 1Бо секрети спливають щохвилини
- 2Бо client secret задовгий для рядків JavaScript
- ✓Правильна відповідь: Усе в браузері публічне, тож SPA - публічний клієнт і має покладатися на PKCE
Пояснення
Конфіденційні клієнти працюють на сервері. Якщо SPA потрібен такий рівень, секрет і токени може тримати backend-for-frontend.