Aplikacja uwierzytelniająca po stronie klienta do REST API przy użyciu CORS ze strategią lokalną

Problem:
>
Zapewnij bezpieczny interfejs API aplikacji klienckiej przy użyciu tylko lokalnej strategii uwierzytelniania.
Czerwone strzałki to część luki w wiedzy.


Kontekst:
>
To znaczy - - -

client.example.com

tak

POST-

api.example.com/login

gdzie po sukcesie

client.example.com

może uzyskać dostęp do GET

-

usługa taka jak

api.example.com/secret

.

Pomysł!
>
Implementacja OAuth 2.0 z hybrydowym typem przydziału umieszczonym przed API.


Dlaczego hybryda?

• Nie będzie to

  Niejawny przepływ przyznania

  aka

  Przepływ aplikacji internetowych po stronie klienta

  , ponieważ nie ma przekierowania do serwera API, który również zapewnia token dostępu. (to znaczy.) „Czy taki a taki jest możliwy dostęp do twoich danych "
• Nie będzie to

  Przepływ hasła właściciela zasobu

  , ponieważ identyfikator klienta i klucz klienta są przekazywane wraz z żądaniem, więc zakłada się, że aplikacja kliencka znajduje się po stronie serwera.

OK ... a może trochę z obu?

Co by było, gdybyśmy użyli tokena CRSF podczas ładowania strony aplikacji klienckiej i POST ją z poświadczeniami użytkownika również z punktem końcowym uwierzytelniania OAuth 2.0, aby wymienić go na token dostępu? Każde kolejne żądanie uwierzytelniasz tokenem dostępu i tokenem CRSF po pomyślnym zalogowaniu.

Znalazłem niezłą bibliotekę Node.js OAuth 2.0

:
https://github.com/ammmir/node-oauth2-provider
https://github.com/ammmir/node-oauth2-provider

Pomóż mi!
>
Nie mogę znaleźć działającego przykładu środka uwierzytelniania, który rozwiązuje ten problem! Pokaż mi właściwy kierunek?

Ostatecznie celem również tutaj jest uwierzytelnienie aplikacji klienckiej w REST API przy użyciu CORS z lokalną strategią - tj. Nazwa użytkownika & amp; hasło - nawet jeśli powyższa umowa nie jest możliwa.


Aby dopasować nagrodę:
>To aplikacja kliencka, więc bądźmy na czasie.

Szukam praktycznego przykładu,


używając nasion Node.js OAuth 2.0 powyżej dla serwera API/Auth i struktury pierwszego planu, takiej jak

Angular.js

lub Backbone.js

,

zadawać pytania.

Przykład powinien pasować do kontekstu opisanego powyżej.