oauth - 为什么 Google 会为 Native 应用程序提供客户端密码？

Question

我正在编写一个适用于 Google API 的 native 应用程序。在注册我的应用程序后，尽管它明确指定为 Native，但 Google Developers Console 为我提供了一个客户端密码。

据我了解 OAuth 2.0 协议(protocol)， native 应用程序永远不应该有客户端 secret ，因为它们不能保证其 secret 性。 Google 在实现 OAuth 2.0 时是否有误？我应该如何进行？

Answer 1

您是对的，从保密的角度来看，客户端 secret 在 native 应用程序中并不是非常有用。我怀疑它的存在主要是为了与 Web 应用程序流程保持一致。

然而，它确实至少有 1 个有用的功能......原始开发人员可以随时重置它，有效地撤销绑定(bind)到该客户端 ID 的所有刷新 token 。