Неявный поток SPA против потока авторизации против гибридного потока

Question

Похоже, что существует согласие относительно использования неявного потока OpenId для SPA, хотя существуют некоторые проблемы безопасности, смягчает ли использование HTTPS этот риск или безопаснее использовать другой тип потока?например, Авторизация или Гибридный поток.

Answer 1

я думаю, что риск выше, если вы используете авторизацию или гибридный поток для SPA, для гибридного кода и кода авторизации вы должны хранить секретный код, который используется совместно поставщиком удостоверений и клиентами, что очень рискованно в случае SPA.потому что это токен обновления, который можно использовать для получения новых токенов в случае кражидавая токен обновления, который дольше живет и может быть использован, получите новый токен