oauth-2.0 - oauth2 在 Android 手机上的哪里存储客户端 secret 以便请求访问 token ？

Question

我用 oath2 做了我自己的身份验证服务器(不使用任何 facebook 或 google)，我想知道首先在移动设备上存储客户端 key 的位置。由于共享首选项可以在 root 手机上被破解，并且访问 token 请求需要客户端 ID，因此我遇到了问题。

(请不要将此问题标记为重复，因为我在类似的帖子中没有找到答案)

Answer 1

使用授权代码流程时，您需要客户端 ID 和 key 。此流程通常用于客户端高度可信的情况，例如从服务器运行的 API。如果您不想存储客户端 key ，则隐式流是更好的选择。

隐式流程与从授权服务器返回响应的授权代码流程不同。隐式流程直接返回access_token。要获得更长时间的有效 session ，您可以请求刷新 token 和访问 token 。当当前访问 token 失效或过期时，可以使用刷新 token 来获取新的访问 token 。

如果您有任何其他问题，请告诉我。

谢谢你，索玛。