この質問は、アーキテクチャの問題に似ています。次の設定は理にかなっているのだろうか。
- クライアント: ユーザー ブラウザ
- Web サーバー: Web アプリケーションの Web API を提供するサーバー。
- アイデンティティ サーバー
Client が Web サーバーにログインのリクエストを送信すると、Web サーバーはリクエストを受信し、アクセス トークンを取得するために Resource Owner Grant タイプを介して Identity サーバーに送信します。
クライアントがリソースのリクエストを送信すると、前のステップのアクセス トークンを使用して Web サーバーにアクセスします。Web サーバーは、リソースを提供する前に毎回 Identity サーバーでリクエストを検証する必要があります。
ただし、このアーキテクチャには次のような問題があると思います
Web サーバーは、SSL 接続でもクライアントが信頼できるクライアントかどうかを確認できません。クライアントはいつでもアクセス トークンを取得し、リクエストを Web サーバーに送信できます。ただし、この問題は他の助成金タイプにも存在するように感じます。ユーザーが許可スコープを変更できないか、他の誰かが (SSL 接続で) トークンを傍受できない限り、問題ないと思います。
何か案が ？ありがとう ！