Безопасно ли принимать токены аутентификации в качестве параметров?

Question

Я создаю приложение для торговли акциями, которое использует Alpaca API.Я не хочу хранить имя пользователя / пароль пользователя или ключ / секрет API, чтобы избежать проблем безопасности, связанных с хранением таких ценных учетных данных в моей собственной размещенной БД.

Моя мысль - хранить токен API локальнонапример, зашифрованные в локальном хранилище или с их отпечатками пальцев, а затем передавать его вызову API (через HTTPS) каждый раз, когда требуется операция.API на стороне сервера будет использовать токен, но ничего не хранить.

Мне кажется, это более безопасно, поскольку ключ / секрет никогда не покидает клиента, и только токен передается по зашифрованному каналу.В случае взлома данных это будет устройство, а не вся БД всех учетных данных.

Я очень хочу услышать мысли сообщества.

Answer 1

Альпака CTO здесь.

В официальном трекере проблем Alpaca был запрос на добавление OAuth для этого случая использования.

https://github.com/alpacahq/Alpaca-API/issues/20

Это решит проблемы, о которых вы упомянули, и мы готовы добавить их. Между тем, да, ваш метод тоже будет работать. Ключевым моментом здесь является то, что идентификатор / секретный ключ API является своего рода именем пользователя / пароля, поэтому не храните его в необработанном формате и не открывайте его клиентской стороне.