OAuth - tajny klucz klienta w aplikacji?

Question

Czekam na Twitterze realizacji oauth proponuje tutaj:

https://dev.twitter.com/docs/auth/oauth 

i OAuth biblioteki jak drogowskaz:

http://code.google.com/p/oauth-signpost/ 

oboje Dyskusja na temat korzystania z tajemnicy klienta podczas przepływu OAuth, co oznacza dla z mojej aplikacji klienckiej, będę musiał przechowywać sekret w samej aplikacji. Jest to prawdopodobnie ryzykowne, ponieważ ktoś może wyłapać tajemnicę z mojej aplikacji. Czy są jakieś metody dotyczące przechowywania sekretu w mojej aplikacji? Czy nie rozumiem przepływu Oautha?

Dzięki

Answer 1

Nie

ma żadnych sposobów przechowywania poświadczeń klienta w natywnej aplikacji JavaScript lub bez nich praktycznie publicznego. Również umieszczanie tych danych uwierzytelniających na serwerze proxy i rozmowa z klientem na serwerze (aby nie ujawnić poświadczeń) tak naprawdę nie rozwiązuje niczego. Teraz masz problem z uwierzytelnieniem klienta na serwerze proxy.

Właściwe rozwiązanie to specjalne wsparcie dla aplikacji natywnych dostarczanych przez usługę OAuth. OAuth 2.0 używa wstępnie zarejestrowanych identyfikatorów URI przekierowania i innych technik w celu przeprowadzenia racjonalnej weryfikacji tożsamości klienta dla takich klientów.