javascript - 在 WebRTC 中公开 TURN 服务器凭据的安全问题

Question

我们在测试环境中的一个应用程序中使用 google public stun 服务器。而且，我们还安装了转服务器。

问题是 - 当我们运行应用程序时，在 javascript 文件中，我们已经输入了转服务器的用户名、密码和服务器地址，以便建立连接。

但是，它在 javascript 调试器中显示了凭据，这是一个安全问题。有没有人有一个解决方案，我们如何限制显示来自 javascript 文件的凭据？

Answer 1

TURN 密码始终暴露给 Javascript。有关最常用的解决方法，请参阅https://datatracker.ietf.org/doc/html/draft-uberti-behave-turn-rest-00 。