为已安装的应用程序分发 Google API 的 client_id 和 client_secret 是否安全？

Question

之前已经问过类似的问题 ( 1 , 2 )，但没有明确回答：

它是安全的存储client id和client secret一个获得证书Installed application -> Other的谷歌API的命令行应用程序的分布式的源代码将被分配？或者，才有可能访问用户帐户或数据，而不在access_token用户同意授权？

Google API文档指定..：

.. 生成客户端 ID，在某些情况下，生成客户端机密，您将其嵌入到应用程序的源代码中。（在这种情况下，客户端机密显然不被视为机密。）

从其他文档中可以明显看出，这不是最佳实践：client_secret服务甚至不应该提供它，但目前它是oauth2和googleapiclient库（对于 Python）以及 Google 服务可能需要的。

该应用程序将使用oauth2基于这些官方示例。

非常感谢确认这是否真正安全的参考资料、良好的解释或文档。

Answer 1

客户端 ID是公开可见的，将其放在您的网站中是安全的，但将客户端 密钥放在网站的 js 或 html 代码中是不安全的