App Python installata e ID client Google

Question

Sono un principiante di pitone e desidero creare un client di base per le attività di google. Sarà un'app nativa. Il punto che non riesco a capire è come mantenere il "segreto del cliente" in realtà segreto, poiché deve essere incluso nel codice del programma.

Ho cercato e trovato un post, citando un post su google forum, e sostanzialmente suggerendo di dare via la cosa.

Ho passato ore a cercare di ottenere la cosa, ma al momento non ho risposta. Quindi, ho due domande da porre:

1. Quali sono le conseguenze del segreto del cliente?
2. Se lasciare che le persone vedano il segreto è pericoloso, esiste un modo per mantenerlo segreto oppure esiste un modo per effettuare un accesso classico per supportare le password specifiche dell'applicazione per accedere all'account Google?

Answer 1

Presumo che tu stia parlando di OAuth.

Sì, si incorpora il segreto - ma no, non è davvero un segreto; vedere un altro post qui: OAuth - embedding client secret in your application?.

I documenti di Google dicono in realtà la stessa cosa; da: https://developers.google.com/accounts/docs/OAuth2#installed

Il client_id e client_secret ottenuti durante la registrazione sono incorporati nel codice sorgente dell'applicazione. In questo contesto, il client_secret non è ovviamente trattato come un segreto.

E non c'è nessun punto nel tentativo di proteggerla - si deve fare la sua strada attraverso la rete per arrivare a Google, e chiunque con Fiddler, ecc poteva guardarlo in testo normale.

Per quanto riguarda l'impatto: l'idea alla base del segreto del cliente, credo, è proteggere il fornitore del cliente (che sei tu). In teoria, se conosco la chiave e il segreto del cliente, potrei creare un sito Web/client dannoso che consenta agli utenti di accedere legittimamente, ma poi elimina tutte le loro attività e sembrerebbe che tu fossi responsabile. Questo probabilmente ha senso difendersi dai servizi web, ma per un client installato, l'utente probabilmente lo ha scaricato da qualche parte (app store, sito web, ecc.) Che si sperava assicurasse che fosse legittimo.