android - 为什么谷歌原生 oauth2 流程需要客户端密码？

Question

根据 facebook oauth2 文档，客户端流程不需要客户端密码参数。客户端流程可用于 native 和移动网络应用程序。

但是谷歌的原生 oauth2 流程需要客户端密码 http://code.google.com/apis/accounts/docs/OAuth2.html#IA .

在这种情况下，黑客可以使用逆向工程工具窃取客户端密码。

有人可以解释一下为什么这样做吗？

Answer 1

根据一位 Google 员工的帖子，主要原因是他们对服务器端应用程序和 native 应用程序使用相同的库。听起来他们并不认为 client_secret 在 native 应用程序的上下文中是敏感的，但他们计划最终在已安装的应用程序流中逐步淘汰它。

来自 https://groups.google.com/group/oauth2-dev/browse_thread/thread/1e714924ebcc7e60/edfaaad5830ff2e8 :

We don't expect those secrets to stay secret—so far we're including them mostly so it's convenient to use with libraries today, and expect to stop requiring them at some point in the future.

虽然这听起来可能很糟糕，但请记住，OAuth 从未旨在防止恶意用户在您的移动/桌面应用程序的上下文中伪造请求。

如果您担心暴露 client_secret，这里还有描述的客户端流程:http://code.google.com/apis/accounts/docs/OAuth2.html#CS据我所知，客户端流程不需要 client_secret，并且可以在桌面或移动应用程序中正常工作。

-克里斯