向使用OAuth2的资源服务器发起请求的最优安全实现方案是什么

结论 #

符合安全规范的最优选择为方案一：将客户端服务端作为代理，JavaScript客户端通过代理访问资源服务器，全程不向JS端暴露JWT Token。

核心原因 #

当前场景中的JavaScript客户端属于无保密能力的公共客户端，浏览器环境下的所有前端存储方案（localStorage、sessionStorage、未配置HttpOnly属性的Cookie）都无法抵御XSS（跨站脚本）攻击：

• 若采用方案二，JWT一旦被XSS攻击窃取，攻击者可直接冒用用户身份调用所有权限范围内的资源服务器接口，且JWT通常有效期较长，泄露后的风险持续时间久
• 方案一将所有敏感凭证（OAuth2 Token）全部存储在可信的客户端服务端侧，前端与客户端服务端之间仅通过配置了HttpOnly、Secure、SameSite属性的安全会话Cookie维护身份，完全规避了Token在前端侧泄露的风险

方案二的适用前提（不推荐，仅做参考） #

如果因为业务架构原因必须采用方案二，需要严格满足以下所有安全约束，才能将风险控制在可接受范围：

• 必须采用带PKCE的授权码流程（Authorization Code Flow with PKCE）获取Token，禁止使用隐式流
• JWT必须设置极短的有效期（建议5~15分钟），配套的刷新令牌也需要做严格的安全校验和过期处理
• 前端必须做全链路XSS防护，所有用户输入严格转义，禁止引入不可信第三方脚本
• 资源服务器需要配置严格的CORS规则，仅允许可信域名发起请求

内容的提问来源于stack exchange，提问作者kaizokun