angular - 通过 PKCE 实施安全地存储具有 OKTA Auth 代码流的 SPA 的客户端 ID

Question

在使用 PKCE for Angular 应用程序实现 Auth 代码流时，我们是否需要安全地存储客户端 ID和Issuer？如果是这样，怎么办？因为如果我将它存储为环境变量并动态生成 environment.ts 文件（包含客户端 id和issuer），这些值仍然可以在浏览器中访问，因为可以在浏览器中访问 prod build 中的环境文件。

暴露客户 ID 和发行人是否存在安全威胁？

Answer 1

根据规范本身：https://datatracker.ietf.org/doc/html/rfc6749#section-2.2客户端 ID 在设计上不是秘密，因此无需保护它。