建立一個Oauth2 API服務，client_secret

Question

是什麼使用早上好，我們是歐洲的一家小公司，我們需要設置一些web服務供內部和外部使用。我們決定實現對這些Web服務的認證，並且我實施Oath2認證。問題在於以下（除了我一次只使用Oauth2標準的事實），從服務提供者的角度來看，我並不真正瞭解「client_secret」的使用。 client_id是否足以識別客戶端？爲什麼client_secret完全需要，以及如何在應用程序的一般邏輯中實現？

謝謝你的回覆。

Answer 1

您希望確保客戶端請求的憑據是您認爲他們的人，並且客戶端ID用於用戶可以在URL中看到的請求中。沒有客戶端祕密，任何人都可以僞裝成任何客戶端應用程序來誘騙用戶授予訪問權限。