google-oauth - 生成新的客户端密码

Question

有没有办法在不更改客户端 ID 的情况下为我们的 Google 应用更改 OAuth2 客户端密码？

作为安全最佳实践(例如，当我们的一位生产系统管理员离开公司时)，我想更改客户端密码，而不必让我们所有的客户重新授权我们的应用程序。

我在这个论坛上只找到了如何为新应用程序生成客户端 ID 和密码。据我所知，唯一的选择是同时生成新的客户端 ID 和密码，这意味着使用旧客户端 ID 获得的任何授权实际上都是无用的。

Answer 1

Client id 和 Client secret 是一对，它们一起用于创建允许您的应用程序访问用户数据的刷新 token 和访问 token 。如果您只更改客户端密码，那么生成的刷新 token 和访问 token 将与旧 token 不匹配。但无论如何你不能只改变一个。

您可以为您的应用程序创建一个新的客户端 ID 和客户端密码对，然后删除旧的。但这样做的缺点是，任何先前授予您的应用程序访问那里数据的权限的人都将被迫重新进行身份验证，因为当前的刷新 token 将不再有效。

虽然我赞赏您的安全感和保护客户数据的愿望。烦扰客户和保护他们之间只有一线之隔。我想知道这个人实际上窃取了一堆刷新 token 以及您的应用程序的客户端 ID 和客户端密码的可能性有多大？我还想知道您的应用程序具有什么样的访问权限，以及您的前雇员可能会对他们可能窃取或可能未窃取的信息造成什么损害。他们是否值得创建一个新的应用程序来使用刷新 token 和应用程序凭据？

您需要判断是否值得打扰您的客户并在每次有人离开公司时强制他们重新验证您的应用程序。