python - 安装的 Python 应用程序和 Google 客户端 ID

Question

我是一名 python 初学者，我想制作一个基本的 google tasks 客户端。这将是一个本地应用程序。我无法理解的是如何将“客户端 secret ”保密，因为它要包含在程序代码中。

我搜索并找到了一个帖子，引用了谷歌论坛的帖子，基本上是建议把东西送人。

我花了几个小时试图得到这东西，但是，我现在没有答案。所以，我有两个问题要问:

1. 泄露客户 secret 的后果是什么？
2. 如果让人们看到 secret 是危险的，有没有办法保密，或者有没有办法进行经典登录以支持应用程序特定密码登录 Google 帐户？

Answer 1

我假设您在谈论 OAuth。

是的，您嵌入了 secret - 但不，这不是真正的 secret ；在这里查看另一篇文章:OAuth - embedding client secret in your application? .

Google 的文档实际上也是这么说的；来自:https://developers.google.com/accounts/docs/OAuth2#installed

The client_id and client_secret obtained during registration are embedded in the source code of your application. In this context, the client_secret is obviously not treated as a secret.

而且没有必要试图保护它 - 它必须通过网络连接到 Google 和任何拥有 Fiddler 的人等可以纯文本观看。

至于影响:我认为，客户端 secret 背后的想法是保护客户端供应商(即您)。从理论上讲，如果我知道您的客户端 key 和密码，我就可以制作一个恶意网站/客户端，让用户合法登录但随后删除他们的所有任务，这看起来像是您的责任。这可能用 Web 服务来防御是有意义的，但对于已安装的客户端，用户大概是从某个地方(应用商店、网站等)下载它的，希望确保它是合法的。