《L03 Laravel 教程 - 实战构架 API 服务器 ( Laravel 5.5 ) 》 11.3. 使用 Passport 认证

课程问答

client_secret 泄露的问题，怎么不让用户看到？

问答 / 3 / 7 / 创建于 6年前

做前后端分离，前端为 WEB 页面，用户只要一审查元素，就可以看到 client_secret, 那么这个 client_secret 存在的意义是什么？

zhangatle

课程读者 18 声望

PHP开发工程师 @ 成都无敌勇士科技

暂无个人描述~

2 人点赞

从零开发一个电商项目，功能包括电商后台、商品 & SKU 管理、购物车、订单管理、支付宝支付、微信支付、订单退款流程、优惠券等

我们将带你从零开发一个项目并部署到线上，本课程教授 Web 开发中专业、实用的技能，如 Git 工作流、Laravel Mix 前端工作流等。

推荐文章：

更多推荐...

博客

用 Laravel12 Startkit 做了一个 composer 私有包托管平台 😂 点赞超过 20 个开源，看看需要的人多不多 28 / 19 |

如何打造令后端面试官印象深刻的简历？ 14 / 10 |

博客

花了四个月打磨的 Laravel Plus 开源 30 / 98 |

博客

冯老师的困惑 —— 一个跑了两年的 BUG 19 / 16 |

博客

在laravel下实现全双工的websocket开发 21 / 8 |

分享创造

无需修改任何代码和扩展将你的Laravel项目性能提高20倍 101 / 99 |

宇宙最厉害

课程读者 283 声望 / PHP工程师 @ 杭州启博科技（360Shop）

最佳答案

你可以只传入用户名密码，在控制器里面多做个请求。

try {
    $response = $http->post(config('app.url') . '/oauth/token', [
        'headers' => [
            'Accept' => $request->header('accept')
        ],
        'form_params' => [
            'grant_type' => 'password',
            'client_id' => config('setting.client_id'),
            'client_secret' => config('setting.client_secret'),
            'username' => $request->username,
            'password' => $request->password,
            'scope' => '*',
        ],
    ]);
} catch (\GuzzleHttp\Exception\ClientException $e) {
    return $e->getResponse();
}

if ($response->getStatusCode() !== 200) {
    return json_decode((string) $response->getBody(), true);
}

6年前评论

讨论数量: 7

宇宙最厉害

课程读者 283 声望 / PHP工程师 @ 杭州启博科技（360Shop）

你可以只传入用户名密码，在控制器里面多做个请求。

try {
    $response = $http->post(config('app.url') . '/oauth/token', [
        'headers' => [
            'Accept' => $request->header('accept')
        ],
        'form_params' => [
            'grant_type' => 'password',
            'client_id' => config('setting.client_id'),
            'client_secret' => config('setting.client_secret'),
            'username' => $request->username,
            'password' => $request->password,
            'scope' => '*',
        ],
    ]);
} catch (\GuzzleHttp\Exception\ClientException $e) {
    return $e->getResponse();
}

if ($response->getStatusCode() !== 200) {
    return json_decode((string) $response->getBody(), true);
}

6年前评论

liyu001989

管理员 1.0k 声望 / 技术负责人 @ 重庆豆豌科技有限公司

首先你理解一下 oauth 2.0 的两种模式 https://learnku.com/courses/laravel-advanc...

自己的服务器和客户端做账户验证，如果你一定要使用 passport 那么就是密码模式，密码模式就是这么用，泄露了也没影响，毕竟用户还需要提交自己的用户名和密码。

所以仅仅是为了一个 token 问题而使用 passport 会比较麻烦，这就是为什么大多数人都在使用 jwt 而不是 passport

6年前评论

宇宙最厉害

课程读者 283 声望 / PHP工程师 @ 杭州启博科技（360Shop）

你可以只传入用户名密码，在控制器里面多做个请求。

try {
    $response = $http->post(config('app.url') . '/oauth/token', [
        'headers' => [
            'Accept' => $request->header('accept')
        ],
        'form_params' => [
            'grant_type' => 'password',
            'client_id' => config('setting.client_id'),
            'client_secret' => config('setting.client_secret'),
            'username' => $request->username,
            'password' => $request->password,
            'scope' => '*',
        ],
    ]);
} catch (\GuzzleHttp\Exception\ClientException $e) {
    return $e->getResponse();
}

if ($response->getStatusCode() !== 200) {
    return json_decode((string) $response->getBody(), true);
}

6年前评论

zhangatle

课程读者 18 声望 / PHP开发工程师 @ 成都无敌勇士科技

@liyu001989 嗯，谢谢回答，就是在这里有点顾虑，之前用的 JWT，然后在研究 passport 的时候，把 client_secret 写在了 env 配置文件里面

6年前评论

zhangatle

课程读者 18 声望 / PHP开发工程师 @ 成都无敌勇士科技

@沈益飞之前用 passport 的时候就是这么做的，谢谢回答

6年前评论

jake666

Laravel 8.x 译者 93 声望 / 搬砖 @ 小公司

@zhangatle @liyu001989 其实写到 env 中是不对的，不同的客户端就应该使用不同 client_id 和 client_secret，但是我的疑问是客户端怎么获取这个 client_id 和 client_secret，如果都用一个 client_id 感觉是误用了

6年前评论

Aben

课程读者 2 声望 / CTO @ Armors.io

public function store(AuthorizationRequest $originRequest, AuthorizationServer $server, ServerRequestInterface $serverRequest)
    {
        if (empty($originRequest->grant_type)) {
            $parsedBody = $serverRequest->getParsedBody();
            $parsedBody['grant_type'] = 'password';
            $parsedBody['client_id'] = config('mars.oauth.client_id');
            $parsedBody['client_secret'] = config('mars.oauth.client_secret');
            $serverRequest = $serverRequest->withParsedBody($parsedBody);
        }

        try {
            return $server->respondToAccessTokenRequest($serverRequest, new Psr7Response)->withStatus(201);
        } catch (OAuthServerException $e) {
            return $this->response->errorUnauthorized($e->getMessage());
        }
    }

干脆这样，但是风险大家还需考虑考虑啊。

6年前评论

没前途的程序员

课程读者 72 声望

在后端转发一遍就好了，前端就不用传那些参数

5年前评论

讨论应以学习和精进为目的。请勿发布不友善或者负能量的内容，与人为善，比聪明更重要！

帮助

client_secret 泄露的问题，怎么不让用户看到？

推荐文章：

高认可度评论：

社区赞助商

关于 LearnKu

资源推荐

服务提供商

其他信息

client_secret 泄露的问题，怎么不让用户看到？

推荐文章：

高认可度评论：

社区赞助商

关于 LearnKu

资源推荐

服务提供商

其他信息

请登录