facebook - 为什么我应该传输 `client_secret` 以获得 `access_token` ？

Question

为了从 Facebook 获得 access_token，您必须传输您的 app_id、您在授权请求后收到的 code 以及您应用的 secret_key。

为什么我要EVER 传输我的 key ？这似乎很不安全。这是 OAuth 2.0 规范的要求吗？

作为一个相关问题，当我的请求已经用我的 consumer_key 签名时，为什么我需要传输 app_id？

我有一个可用的应用程序，我只是不明白这些要求。

Answer 1

这是 OAuth 2.0 spec, section 4.1.3 的要求.

If the client type is confidential or was issued client credentials(or assigned other authentication requirements), the client MUSTauthenticate with the authorization server as described inSection 3.2.1

和section 3.2.1指section 2.3 .具体来说，section 2.3.1说:

Alternatively, the authorization server MAY allow including theclient credentials in the request body using the followingparameters:

client_id

   REQUIRED.  The client identifier issued to the client during

   the registration process described by Section 2.2.

client_secret

   REQUIRED.  The client secret.  The client MAY omit the

   parameter if the client secret is an empty string.

OAuth 2.0 确实提供了其他方式，但通过选择这种方式，Facebook 完全符合规范。现在为什么 Facebook 选择这种方法，可能只有 Facebook 可以回答。