React Native中如何保护客户端密钥？LinkedIn认证存安全风险？

核心风险分析 #

• 你担心的问题完全成立：如果把客户端密钥直接硬编码在前端（比如JS Bundle、移动端APP代码中），攻击者确实可以通过反编译、解码Bundle等方式轻松提取密钥。一旦密钥泄露，攻击者就能伪装成你的应用发起请求，可能导致用户数据泄露、伪造授权操作等安全问题。
• 按照OAuth 2.0的规范，客户端密钥只能在服务端使用，前端（包括Web前端、移动端APP）绝不应该直接持有密钥，这是OAuth安全体系的基础原则。

正确的实现方案 #

采用标准的授权码流程（Authorization Code Flow），彻底规避密钥暴露风险：

1. 前端仅需持有客户端ID，跳转LinkedIn的官方授权页面引导用户完成登录与授权操作。
2. 用户授权成功后，LinkedIn会向前端返回一个一次性的授权码。
3. 前端将该授权码发送至你的后端服务。
4. 后端服务使用客户端ID+客户端密钥+授权码的组合，向LinkedIn官方接口请求访问令牌。
5. 后端获取到合法令牌后，可自行调用接口获取用户信息并返回给前端，或直接将令牌安全传递给前端使用。

通过这个流程，客户端密钥全程仅在你的服务端存储和使用，前端完全接触不到，从根源上避免了密钥泄露的可能。

关于示例代码的说明 #

很多公开示例为了演示流程的便捷性，会简化步骤直接在前端嵌入客户端密钥，但这种方式仅适合本地测试场景，绝对不能用于生产环境。生产环境必须严格遵循OAuth的安全规范，将密钥放在服务端进行管控。

内容的提问来源于stack exchange，提问作者Mars