为什么我们需要 clientID 和 clientSecret

Question

我最近使用 PassportJS 实现了 GoogleStrategy，并且成功实现了它。

但为什么我需要在谷歌开发者控制台中注册应用程序并获取 clientID 和 client Secret。

我没有成功地找到为什么需要它。谁能告诉我为什么以及什么时候需要它？

Answer 1

你不需要两者。有许多不同的 OAuth 授权类型，其中许多类型不需要 client_secret。

建议对服务器端应用程序（最终用户无权访问客户端密钥）使用客户端密钥，因为它更安全。不建议用于客户端应用程序；这些应用程序可以被反编译，从而泄露 client_secret。

Answer 2

使用您的 clientID 是为了让 Google 能够识别您的应用程序并允许适当使用 Google API 和服务。这一切都是为了身份验证和授权，以便您可以获得适当的权限并访问任何 Google API 和服务。

您的 clientSecret 用于保存稍微机密的信息，例如您的 api 使用情况、流量信息和账单信息。