向 Auth0 发送请求以获取访问令牌时，是否可以使用可见的密钥隐藏有效负载？

Question

我使用 Auth0 进行登录/注册流程，用户可以更新他的个人资料信息。

为了做到这一点，我使用 URL

token

从 auth0 请求

'https://YOUR_DOMAIN/oauth/token'

，在有效负载中发送以下敏感信息：

data: {
    grant_type: 'client_credentials',
    client_id: 'YOUR_CLIENT_ID',
    client_secret: 'YOUR_CLIENT_SECRET',
    audience: 'https://YOUR_DOMAIN/api/v2/'
  }

以纯文本形式在网络请求浏览器中可见。

这是我遵循的程序：https://auth0.com/docs/secure/tokens/access-tokens/get-management-api-access-tokens-for-product

那么可以隐藏包含敏感信息的有效负载数据吗？因为有了这个令牌，如果您知道的话，您就可以操纵用户数据

userID

。

或者有其他方法可以在更新配置文件之前从 auth0 检索令牌？

Answer 1

您应该从后端获取新的访问令牌，然后还从后端更新用户个人资料。

您的

access_token

应加密并可以存储在用户浏览器中的 cookie 或 JWT 令牌中。这是在每个请求发送到您的服务器/后端时发送的，您将其解密并提取一些用户信息，包括令牌的过期时间和

refresh_token

。

如果

access_token

已过期，您可以使用

refresh_token

从后端向授权服务器请求一个新的。

如果您有兴趣，我还在这里解释了拥有access_token和refresh_token的原因：为什么OAuth v2同时具有访问令牌和刷新令牌？

Answer 2

您应该仅从后端执行 Client_Credentials Flow。那么您也不会有在浏览器网络选项卡中看到凭据的问题。