基于Evernote API的隐式授权及原生应用部署技术咨询

Evernote对OAuth 2.0隐式授权流的支持情况 #

Evernote目前并未支持OAuth 2.0隐式授权流，官方也没有公开相关的支持计划。隐式流设计初衷是适配纯前端无后端的场景，而原生应用有更适配的安全授权方案，这也是Evernote未优先支持该流的原因。

原生应用安全访问Evernote API的替代方案 #

• OAuth 2.0授权码流（搭配PKCE）：这是Evernote推荐给原生应用的授权方式，无需存储客户端密钥即可完成安全授权：

  1. 应用生成随机的code_verifier字符串
  2. 对code_verifier进行SHA-256哈希并做Base64URL编码，得到code_challenge
  3. 引导用户跳转至Evernote授权页面，携带code_challenge和code_challenge_method=S256参数
  4. 用户授权后，Evernote返回授权码；应用携带code_verifier向Evernote的token端点请求访问令牌
     整个流程中，客户端密钥无需出现在原生应用内，彻底避免暴露风险。

• 使用Evernote官方原生SDK：Evernote针对iOS、Android等主流平台提供了官方SDK，这些SDK已经封装了安全的授权逻辑，内部处理了密钥的安全存储与使用，你只需按照SDK文档完成集成，无需手动处理密钥相关问题。

• 后端代理模式：如果你的应用有自有后端服务，可以将客户端密钥存储在后端服务器中，由后端代为处理与Evernote API的授权及数据交互。原生应用仅与自有后端通信，完全不接触客户端密钥，安全性最高，但需要额外维护后端服务。

内容的提问来源于stack exchange，提问作者Peter