Как использовать oauth в приложении FLOSS, где мы не можем хранить секретный ключ?

Question

Как использовать oauth в приложении FLOSS, где мы не можем хранить секретный ключ?Если другие видят секрет и ключ, не может ли он использовать его, чтобы использовать учетную запись пользователя, как если бы он был у меня?

Answer 1

Я имел дело с этой проблемой в моих собственных приложениях Twitter с открытым исходным кодом.

Вы НЕ распространяете ConsumerKey или ConsumerKeySecret со своим исходным кодом.Разумный подход заключается в создании двух констант / глобальных переменных (или любых других), которые содержат эти значения, и они являются ПУСТОЙ в источнике, который вы публикуете.Включите некоторую документацию, которая объясняет другим разработчикам, как получить их собственные ключи и как изменить исходный код для их установки.

Если вы распространяете скомпилированные двоичные файлы, вы должны скомпилировать значения ConsumerKey и ConsumerKeySecret, заполненные так, чтобы приложениеработает.

Нет совершенно безопасного способа справиться с этим;это природа OAuth.Вы можете, однако, быть достаточно разумно защищенными, и это то, чего достигает этот подход.