重置客戶端祕密OAuth2 - 客戶端是否需要重新授予訪問權限？

Question

作爲安全最佳實踐，當工程師/實習生離開團隊時，我想重置我的Google API控制檯項目的客戶端密鑰。

該項目擁有許多人授予的OAuth2訪問權限，我需要確保這些（授予以及刷新令牌）不會停止工作。不幸的是，我一直無法找到明確說明這一點的文檔。

Answer 1

是的。客戶機密鑰重置將立即（在Google OAuth 2.0中，可能會有幾分鐘的延遲）使發出給客戶機的授權「代碼」或刷新令牌無效。

客戶機密重置是針對私人客戶濫用泄露的客戶機密的對策。因此，一旦祕密被重置，要求重新授予是有意義的。

我沒有發現任何Google文檔明確指出這一點。但我的實踐證明，重置會影響用戶，您也可以對其進行測試。

而在我們的工作中，我們的程序員不會觸及產品的祕密，我們有測試客戶。只有極少數產品經銷商能夠觸及到這一點。所以我認爲你需要盡力縮小團隊祕密的知名度。休息不是一個好方法。