Почему OAuth предоставляет и токен доступа, и секрет токена доступа? Почему не просто одно значение?

Question

Почему OAuth включает и токен доступа, и секрет токена доступа как два отдельных значения? Как потребитель или OAuth, все рекомендации, которые я видел, указывают, что я должен хранить токен и секрет вместе и, по сути, рассматривать их как одно значение.

Так почему для спецификации в первую очередь требуются два значения?

Answer 1

На самом деле, секрет токена доступа никогда не передается провайдеру. Вместо этого запросы передают токен доступа, а затем используют секрет для подписания запроса. Вот почему вам нужны оба: один для идентификации и один для защиты

Answer 2

Есть 2 секрета, один из которых является секретным токеном, а другой - секретом потребителя. Секреты используются для подписи запросов (для генерации подписи oauth), но не передаются в заголовке запроса, где токен отправляется в заголовке для идентификации клиента и проверки, имеет ли он доступ.