Django oauth的客户端密钥

Question

我正在使用Django OAuth工具包和Django Rest为移动应用程序进行OAuth身份验证。要访问任何受保护的资源，需要应用程序的客户端id和密钥。我应该在哪里存储客户端密码。在APK中存储是不安全的，因为它可以反编译。即使是模糊处理也可以进行反向工程。那么，什么是最好的和安全的方式来为应用程序提供客户端秘密。

Answer 1

隐藏客户端id并不是非常重要，但您没有将客户端秘密保存在应用程序中的某个位置是正确的。暴露它肯定会危及你的安全。

在您的情况下，您可以设置一个使用Password Grant type (我的个人偏好)的OAuth应用程序，或者让您的用户authenticate with your server授予他们一个过期访问令牌，以供将来的请求使用。这是移动应用程序中常见的两种不同的"OAuth流“。

还有这个awkwardly titled slideshow，我认为它有一些有用的插图来描述OAuth在移动应用程序中的使用。