security - OAuth2 中客户端 key 的用途是什么？

Question

我有一个提供 API 的应用程序。此应用程序是 OAuth2 提供商。

我想使用仅客户端应用程序访问此 API(读取和写入)。我正在使用JSO让这变得更容易。

效果很好。

问题是，我不必在任何地方输入我的客户端密码(我在应用程序中注册的应用程序的密码)。我明白为什么，那么任何人都可以使用它。

那么，如果我可以在没有客户端 key 的情况下访问我的 api，您能给我解释一下它的用途吗？

Answer 1

OAuth 1.0 中使用客户端 key 来签署请求，因此它是必需的。某些 OAuth2 服务器(例如 Google Web Server API)需要发送客户端 key 才能接收访问 token (来自请求 token 或刷新 token )。

OAuth 2.0 显着降低了客户端 key 的作用，但它仍然会传递给使用它的服务器。