objective-c - 如何保护 OAuth2 登录到 Parse 服务器安全的客户端 secret ？

Question

我想让我的 macOS 应用程序中的用户能够安全地登录到我的 Parse Server使用第三方 Oauth2 登录。我一直在寻找最好的方法来做到这一点，但仍然存在一些问题。如果我没理解错的话，登录需要:

1. 在我的 Parse 服务器配置文件中启用 oauth(用于 twitter、google 等)。
2. 使用客户端 OAuth 登录获取提供商(例如 Twitter)的访问 token 。我目前正在使用 OAuthSwift .

3. 按照 swift example provided here 中的建议，使用提供的访问 token (来自 2)登录到 Parse ，即

   [[PFUser logInWithAuthTypeInBackground:provider authData:authData] continueWithBlock:^id(BFTask<id> *task) {
    return task;
   }];
   

此登录方法需要为每个提供商使用客户端 key 和客户端密码。我如何安全地将这些 key 存储在我的 Parse 服务器上并以编程方式访问它们？我应该使用 PFConfig 吗？并在运行时访问它们？那安全吗？或者我在这里做错了什么？如果有人对我应该如何启用 OAuth 登录有更好的方法或示例，我将不胜感激(因为我在 macOS 上，所以我不能使用 TwitterUtils 和 FacebookUtils)。

Answer 1

您的客户端不应使用任何 secret key 。客户端 key 可以被认为是“公共(public)的”，实际上是可选的(尽管推荐)。

您的 key 应该仅存储在您的服务器上，最好作为配置/环境变量(注意:不是 PFCONFIG)。它的任何使用都应该在您的服务器上，您可以创建一个云代码函数，该函数将根据需要使用 key 并将必要的值返回给您的客户端。客户端应调用它，接收您需要的 key ，然后适本地使用它。

虽然我一般也不熟悉客户端 key ？这是我第一次看到它。我想知道您是否误解了任何文档？