在哪里安全地存储用于来自 Monzo bank api 的 api 请求的访问令牌

Question

我正在使用 Monzo bank api 开发一个金融应用程序，并且身份验证过程以access_token从 Monzo api接收一个结束：https ://docs.monzo.com/#acquire-an-access-token

我已经到了这一点，并收到了我需要用来发出所有未来 api 请求以检索我的财务数据的令牌，但我真的不确定如何安全地存储这个令牌。

Localstorage 不安全，那么我可以将它存储在哪里，以便无法从客户端读取？

这是在使用 Firebase 作为数据库的 React 应用程序中。

非常感谢

Answer 1

如果您有一个 API 密钥必须对您的应用程序的用户保密，您需要将该 API 密钥保留在服务器上，并且只向该用户公开他们被允许使用的特定功能。我编写这种服务器端端点/API 的首选方法是使用Cloud Functions for Firebase。如果您想开始使用，我建议您参加这个codelab。

Answer 2

您可以使用 HTTPonly 或 Secure Cookies 来存储令牌要使用 reactJS 设置 Cookie，有一个包https://www.npmjs.com/package/react-cookie