我只是好奇 - 我需要保留客户端秘密来自 Google/FaceBook/其他 OAuth 2.0 提供商的“秘密”地方？据我所知，一旦我指定了非常严格的回调网址，就可以使用客户端秘密参数完成很少的事情。
例如，将“秘密”密钥提交到 github/bitbucket/etc 是否安全？public一些实时网络项目的存储库？
据我所知，client-secret 与 google/facebook 上的开发者帐户没有任何共同之处，因此不可能将其用于劫持或欺骗。
我错过了什么吗？谢谢！
尽量保密。
对于网络应用程序来说，保密至关重要，整个流程的安全性依赖于此。
对于本机应用程序，请尽力而为。它总是可以从您的二进制文件进行逆向工程，但在某些情况下这可能并不简单。如果可能的话，不要直接提交给 github 等。您可以将其添加为构建过程的一部分。
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
