javascript - 如果在浏览器中存储访问令牌不安全，那么在浏览器中使用 octokit/core.js 有什么意义？

Question

octokit/core.js的文档显示了在浏览器中使用该模块的示例，但没有显示令牌的获取方式或存储位置。因此，我假设令牌在浏览器中很容易获得。

如果在浏览器中存储令牌不安全，那么是否存在使用浏览器访问 GitHub API 有效的用例？

Answer 1

我找不到从 octokit 获取令牌的方法。我遵循了 Github Web 应用程序流程 - https://docs.github.com/en/developers/apps/building-oauth-apps/authorizing-oauth-apps#web-application-flow

我所做的是将令牌作为 httpOnly cookie 存储在浏览器中，然后传递给我的 nodejs 服务器以调用 Github API