在Chrome扩展程序和Gmail小工具中安全处理OAuth使用者密钥和密钥

Question

我想了解一下如何正确处理Chrome扩展程序和Gmail小工具中的Salesforce OAuth使用者密钥和密钥.Chrome扩展程序本质上是以兼容zip格式的Javascript封装的.如果我需要构建一个代表用户调用Salesforce API的扩展,我必须在Javascript中嵌入Salesforce生成的App OAuth Consumer Key和Secret作为扩展.这会产生泄露OAuth使用者密钥和密钥以及可能的滥用的可能性.

我很好奇其他开发人员如何在Chrome扩展程序中处理这些OAuth使用者密钥和秘密.

Google为需要访问Google API的Chrome扩展程序提供匿名消费者密钥和密钥.但是,Salesforce不提供类似的OAuth设置.这是Salesforce OAuth 2.0实施的路线图吗？

Answer 1

这里有几个选项.

1)通过您自己的服务器运行代理,保护秘密并通过您自己的API限制允许的方法.这也允许您在瞬间更新API密钥,而不是更新扩展的潜在日期.

2)模糊扩展/小工具代码中的秘密.您可以很难找到,但使用Chrome可以轻松地在开发工具网络标签中选择密钥.

3)说它拧紧,留在代码中,并确保使用秘密不会造成实际损坏.

至于Salesforce的路线图,您可能不得不问他们,他们可能不会发表评论.