我正在开发一个通过 OAuth2 访问 google-api 的已安装应用程序。我目前不知道有一些安全问题没有真正的解决方案。不管我多么努力地混淆我的客户秘密，一个坚定的人都可以检索和使用它。由此产生两个问题：
有人使用我的客户端密码修改用户数据：
到目前为止，当没有使用刷新令牌时，似乎需要再次授权已安装的应用程序。但是我不确定这是否是我使用的客户端 api 的一部分，或者它是否在服务器端得到保证。如果它在服务器端得到保证，我很高兴:)
有人使用我的客户端密码超出了我的访问限制：
好的，这是特定于谷歌的。只要我不付钱，我就有一个免费的配额，它可能会用完。所以有人可以使用我的客户端密码来耗尽配额，其他客户端将无法访问它的数据:(我想不出一个真正的解决方案，除了永远不会将服务升级到付费级别。
我想到的唯一安全解决方案是将网络服务器作为网关，与谷歌交互并将访问令牌传输给客户端。或者它甚至可能保留令牌并仅传输请求的数据（在用户身份验证之后（openid...whatever））
结论：我没有可以用作网关的网络服务器。因此，只要用户数据是安全的（没有用户授予对新令牌的访问权限，任何人都无法使用被盗的客户端机密访问它）我可以继续使用免费配额限制，看看它被超过的速度有多快，并且永远不会升级它.
我很高兴对这个话题发表任何评论。谢谢！