android - 在移动设备上存储 API key

Question

我已经阅读了很多(如果不是全部的话)之前关于同一主题的问题的答案，但问题本身并不完全是关于我的情况。

我有一个 OAuth 2.0 服务器正在运行。它有一个向用户提供访问 token 的端点。请求访问 token 的程序和网站可能归我所有，也可能不归我所有，换句话说，我可以为网站用户添加一个工具并将其定位在相同或相邻的网站上，我的用户可以创建一个应用程序并使用他们的 API key 请求访问用户的数据。现在我正在开发将操作用户数据的应用程序。

我意识到将 API secret 存储在设备上并不是一个好的解决方案。我已经阅读了有关创建一个端点的信息，我直接从应用程序向其发出请求，然后端点发出 API 请求，但端点必须存在于同一主机上，并且可能与 OAuth 服务器相同。

当我控制应用程序和 OAuth 服务器时，有没有办法授权移动应用程序访问用户数据？我应该创建一个单独的端点吗？我应该向它传递设备 ID 和/或任何其他信息吗？

P.S. 我知道普通的旧授权可以在这里工作，但是如果某些用户想要创建他自己的移动扩展程序(目前出于安全原因不允许)怎么办？此外，当前系统有一个按钮，很多人都知道，他们知道点击它后会发生什么。对于应用程序，当用户看到登录对话框而不是“使用 * 登录”按钮时，可能会出现问题。我真的希望有一个聪明的解决方案。

Answer 1

您的担忧是正确的。您的 API Secret 不应存储在设备上。

但是，我不确定为什么您会担心构建一个单独的端点，因为 OAuth 2 具有针对这些用例的授权流程。

https://www.rfc-editor.org/rfc/rfc6749#section-9

在您的用例中，我建议使用隐式授权流程来获取访问 token 并将其存储在本地设备上。不会有刷新 token ，并且 access_token 可以有一个到期日期。当然，设备上的 token 可能会受到损害，但损害仅限于特定用户，而不是整个应用程序。

如果不能接受这种级别的安全性，那么您可以考虑在应用的不同部分拆分 API secret ，然后在应用运行时将其组装起来。