使用Spring OAuth2实现密码授权流，存储client_secret到浏览器本地是否安全？

一、浏览器本地存储client_secret是否安全？ #

结论是绝对不安全：

• 浏览器localStorage/sessionStorage属于前端可直接读取的存储区域，XSS攻击能轻松窃取其中内容。一旦client_secret泄露，黑客可直接伪装成你的合法客户端向授权服务器发起令牌请求。
• 你提到“黑客还需用户名密码才能操作”，但实际场景中，黑客结合钓鱼获取的用户账号密码+泄露的client_secret，就能完全模拟你的客户端完成请求；若授权服务器校验逻辑存在漏洞，甚至仅凭合法client_secret就能绕过部分限制，进一步扩大攻击面。
• 资源所有者密码凭证流的设计初衷是服务可信客户端（如自家后端服务、原生桌面应用），这类客户端才有能力安全存储client_secret。浏览器属于公共不可信环境，完全不适合存放任何敏感凭证。

二、隐式授权流和密码流存储client_secret不当是否等价？ #

完全不等价，二者的风险与适用场景有本质区别：

• 隐式授权流的设计目标就是纯前端无后端应用，它从一开始就不依赖client_secret（因为前端无法安全存储），授权服务器直接将令牌返回给前端，风险点仅在于令牌泄露后的滥用，不存在客户端身份校验的环节。
• 密码流存储client_secret不当，等于违背了该模式的安全前提——密码流要求客户端是可信的，能安全保管client_secret。前端存储client_secret，既失去了client_secret校验客户端身份的意义，又额外增加了凭证泄露的风险，属于双重风险叠加。
• 另外，密码流本身要求用户直接将用户名密码交给客户端，这已经是极高的信任度要求，再加上client_secret泄露，风险远高于合理使用的隐式流。

三、建议方案 #

• 若为纯前端应用，放弃密码流，改用授权码流（PKCE模式），这是当前前端应用的标准安全方案，无需存储client_secret，同时能有效防止授权码被窃取。
• 若必须使用密码流，一定要在后端服务中处理用户账号密码与client_secret的请求逻辑：前端仅负责收集用户输入，将数据传给自家后端，由后端作为可信客户端向授权服务器请求令牌，再将令牌返回给前端使用。

内容的提问来源于stack exchange，提问作者Patrick