javascript - 为什么适用于 PHP 的 Google API 需要客户端 key ，而适用于 Javascript 的 Google API 则不需要？

Question

我发现令人困惑的是，当我第一次在 php 环境中尝试 google api 时，它要求我使用通过 api 控制台获得的“客户端 key ” key 。在 Javascript api 示例中不需要这样的 key ，而且我知道如果存在的话，代码将不再是 secret 的。

谷歌仍然需要 php 代码中的 key 有什么原因吗？JS 和 PHP api 之间有区别吗？有些事情只能在 PHP 中完成吗？

Answer 1

OAuth2 规范区分客户端类型并为它们提供不同的工作流程。

通常，规范建议成熟的“授权代码授予”方案。由于您的 PHP 应用程序在远离最终用户的 Web 服务器上运行，因此 PHP 应用程序可以保护其客户端 secret 不被外界知晓。

相反，嵌入式客户端(如手机上运行的应用程序或浏览器中的 JavaScript)无法保护客户端 secret ，因为它们的环境很容易从外部访问。因此，该规范具有完全不同的“隐式授予”场景，不需要使用客户端 secret 。