客户端可调用的Data Management API及API调用安全性咨询

好问题！我在开发Forge应用时也研究过这类权限与安全边界的问题，结合Autodesk官方的安全最佳实践，给你梳理清楚：

只要你能保证客户端密钥全程不暴露，并且采用安全的授权流程，获取Hub/文件层级相关的API完全可以迁移到客户端执行，同时保持安全性。下面针对你提到的几个关键API场景逐一拆解：

1. 获取三方授权（涉及客户端密钥的步骤）：客户端执行不安全 #

这里要区分授权流程的不同阶段：

• 如果你用的是授权码流程（Authorization Code Flow）：引导用户跳转到Autodesk登录页的步骤可以在客户端触发，但用授权码交换access token的环节必须在服务端执行——因为这一步需要传入客户端密钥，而客户端（浏览器/前端代码）无法安全存储密钥，一旦泄露，恶意用户就能冒充你的应用发起请求。
• 如果你采用带PKCE的授权码流程：整个授权流程可以安全地在客户端执行。PKCE通过生成临时的code challenge来替代客户端密钥的验证，不需要在客户端存储任何敏感的应用级密钥，是Autodesk推荐的前端授权方案。

简单说：涉及客户端密钥的授权步骤绝对不能放客户端；用PKCE的无密钥授权流程，客户端执行是100%安全的。

2. 获取Hubs：客户端执行安全 #

获取Hubs的API（GET /hubs）只需要用户级的access token，不需要客户端密钥。只要你的token是通过安全流程获取的（比如服务端下发，或者客户端用PKCE合法拿到的），在客户端调用完全没问题：

• 这个API返回的是当前授权用户有权限访问的Hub列表，不存在敏感的应用级信息泄露风险；
• 只要你做好前端token的防护（比如用HTTPS传输、避免存在localStorage防止XSS窃取），就能保证调用安全。

3. 获取Projects：客户端执行安全 #

和获取Hubs的逻辑完全一致，获取Projects的API（GET /hubs/{hub_id}/projects）同样只依赖用户的access token，客户端执行是安全的：

• 接口返回的是用户在指定Hub下有权限的项目，仅包含用户可访问的资源信息；
• 只要token的获取和存储符合安全规范，就不会有额外的风险。

• 前端token防护：优先用sessionStorage或内存存储token，避免持久化到localStorage；全程用HTTPS传输，防止token被中间人窃取；
• 权限范围控制：申请access token时只请求必要的权限（比如data:read），最小化token泄露后的影响；
• 敏感API留服务端：如果涉及应用级权限的操作（比如创建webhook、管理应用全局配置），这类API必须留在服务端执行，因为它们需要应用级的token（用客户端密钥生成），绝对不能放到客户端。

内容的提问来源于stack exchange，提问作者Jakeb Barnett