oauth - Google OAuth - 保密客户端 ID

Question

在 Google Cloud Endpoints JavaScript 客户端中使用 OAuth 时，您如何保护客户端 ID 的 secret 性？

如何在 Google Cloud Endpoints JavaScript 客户端中实现 0Auth 详解 here .在下面的代码片段中，客户端 ID 作为参数传递给 OAuth 方法。

gapi.auth.authorize({client_id: CLIENT_ID, scope: SCOPES,
    immediate: mode}, callback);

由于最终用户将以明文形式收到脚本文件，无论是否使用 HTTPS，您如何避免将客户端 ID 交给您服务的每个用户？毕竟，梳理 JavaScript 代码以查找客户端 ID 会相当简单。

Answer 1

你没有。任何人都可以看到并拦截它(如您所说)，这就是混淆副问题的根源。

这就是为什么你validate your tokens .有关 token 验证和混淆代理问题的简单解释，请查看 How and why is Google OAuth token validation performed 上的这个很棒的 SO 问答。 .