1

Хочу сделать веб-приложение, которое хостится на GitHub Pages и хранит пользовательские данные в виде его же Gist'ов, которые оно будет создавать и просматривать через Github API, имея доступ к аккаунту пользователя. Таким образом, будет реализована динамика средствами самого GitHub без поддержки стороннего сервера.

То есть моё приложение через OAuth 2 запрашивает доступ к Github-аккаунту пользователя, пользователь разрешает, моё окно перенаправляется на страницу авторизации, которая получает временный код. Дальше страница авторизации по этому коду должна запросить ключ, но для этого нужен client secret. Проблема в том, что client secret без сервера спрятать не получится, а придётся зашивать его в страницу авторизации, исходный код которой может просмотреть кто угодно.

Насколько я понял, если client secret будет виден всем, то будет возможна атака через DNS, когда злоумышленник сможет подменить мой сайт на какой-то другой со своим зловредным содержимым. Поскольку, он будет находиться на том же домене и знать мой client secret, он сможет аутентифицироваться и создавать Gist'ы от имени пользователя, либо модифицировать или удалять существующие Gist'ы пользователя.

Может можно как-то добиться того же уровня безопасности, не пряча client secret? Так как на GitHub Pages используется HTTPS, в случае подмены браузер должен определить, что сертификат невалидный. Можно ли это как-то использовать? Или по-любому придётся свой сервер делать?

1
  • Оказывается, у GitHub в ответе с access_token даже CORS заголовка нет, так что видимо по-любому сервер поднимать придётся...
    – devoln
    15 дек 2018 в 16:32

0

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Посмотрите другие вопросы с метками или задайте свой вопрос.