使用Python语言在桌面应用程序中安全地分发OAuth 2.0 client_secret

文章/答案/技术大牛

发布

3回答

python-3.x、security、oauth-2.0、google-oauth

我正在寻找一些关于如何使用Python2.0授权流程来设计和创建我自己的桌面应用程序(或安装的应用程序)的最佳实践示例代码，并找到了由谷歌提供的存储库: https://github.com/googlesamples在深入研究代码时，我很惊讶地发现client_secret是直接嵌入到源代码中的(请看这里: https://github.com/googlesamples&

浏览 44提问于2019-12-20得票数 11

1回答

如何在已安装的应用程序(不是web应用程序)中执行QuickBooks Online身份验证？

c#、.net、oauth、quickbooks、quickbooks-online

假设我有一个已安装的应用程序，例如控制台应用程序，而不是web应用程序，我想要与QBO API交互-我想从我的控制台应用程序(但不是web应用程序)执行对QBO的调用。因此，我必须从控制台应用程序进行身份验证，在控制台中进行调用和输出。所有QBO似乎都请求一个回调URL或重定向URL，即我的服务器上的一个页面，它们将执行所需的身份验证。由于我安装的应用程序不是app服务器，因此我没有地方托管此逻辑。是的，我可以托管一台why服务器来处理这个逻辑，但我

浏览 0提问于2018-05-08得票数 0

1回答

针对azure广告和EWS进行服务身份验证

oauth-2.0、azure-active-directory

我正在构建一个守护进程/非交互式服务，以便在O365中以特定用户的身份使用EWS。为了通过OAUTH2.0与EWS通信，我正在尝试正确注册应用程序并针对AAD进行身份验证。我最好使用基于证书的身份验证，但我没有做到这一点。在使用代码时，我将应用程序注册为“本机”，然而，我后来发现，Micrsofts的手册上说，您不应该在本机应用程序中使用client_secret，并且客

浏览 2提问于2018-11-13得票数 0

2回答

OAuth 2.0PKCE不是为伪装/钓鱼攻击打开了大门吗？

oauth-2.0、gcloud、google-cloud-sdk、phishing、pkce

对于已安装的App2.0 OAuth流(例如，桌面应用程序/cli/客户端库)，似乎没有什么可以阻止攻击者：使用假应用程序引诱用户授予访问权限，从而获得刷新令牌，这实质上意味着在请求的范围内完全访问。如果没

浏览 3提问于2020-10-20得票数 5

回答已采纳

1回答

使用谷歌OAuth 2.0刷新令牌而不使用client_secret

oauth-2.0、google-oauth

因此，我知道将client_secret存储在客户端应用程序(在我的例子中是移动应用程序)中是不好的；然而，下面的链接是描述如何在GoogleWeb2.0中使用刷新令牌的唯一链接，它需要client_secret我的问题是:在客户端应用程序中使用GoogleWeb2.0而不使用/存储OAuth

浏览 3提问于2014-04-01得票数 3

回答已采纳

1回答

如何在电子应用上正确存储Google Drive API的客户端机密？

node.js、oauth-2.0、electron

根据我的理解，这在某些场景下是不可能做到的，比如移动应用程序，但是在本地应用程序上做这件事的正确方式是什么呢？当尝试遵循谷歌的 OAuth说明时，看起来您不能在本地应用程序上使用此方法。当尝试以这种方式设置OAuth进程时，它甚至不允许您将本地主机列入白名单，将其作为一个域进行用户身份验证(这会中断该进程，因为这是一个运行在电子上的本地应用程序)。再加上谷歌发布的这个，似乎你也不能欺骗身份验证过程，让它认为它不是在本地主机上运行的，

浏览 0提问于2021-01-15得票数 2

1回答

如何在没有用户干预的情况下使用Google API v3接收访问令牌？

php、api、oauth、youtube

我需要在php中构建一个web应用程序，允许AD用户轻松地将视频链接添加到我们公司帐户的播放列表中。问题是我们不想让员工知道这个帐户的密码。我在这篇文章中读到：，您可以将临时令牌交换为永久令牌，但是这个方法已经被废弃，我找不到OAuth 2.0允许的地方。我在google中的两个不同位置读到，一个服务帐户不能在youtube上使用。但是，我决定无论如何尝试它，因为它确实支持OAuth身

浏览 3提问于2013-08-06得票数 4

1回答

将桌面应用程序连接到Google，而不泄露应用程序的秘密密钥

oauth-2.0、google-oauth、secret-key、google-photos-api、pkce

我正在用Java编写一个开源的独立桌面应用程序来处理照片，我还添加了一个功能，允许用户将图片上传到他们的Google帐户，但我面临着身份验证/安全问题。但是，凭据文件包含一个"client_secret“键，如果我没有弄错，就不应该公开它(我在这里正确吗?)但这些凭证必须以某种方式随应用程序一起分发，而且，由于它是开源的，基本上是公开的。因此，我的问题是:在不泄露我的应用程序的秘密密钥的情况下，我如何才能在他/她的Google帐户上验证我的

浏览 2提问于2020-06-16得票数 2

1回答

使用作为服务器

google-compute-engine、google-cloud-platform、google-api-python-client

我正在使用用于Python的库。我的代码正在Ubuntu14.04LTS服务器上运行。在桌面上使用我的代码。弹出一个需要我批准的浏览器页面。在我的服务器上，我收到以下消息：

浏览 4提问于2015-11-29得票数 0

回答已采纳

1回答

移动应用程序中OAuth的松弛客户端秘密

oauth-2.0、slack-api

Slack文档中似乎存在不一致之处，因为OAuth流需要提供一个client_secret，作为OAuth令牌代码交换的一部分，如中所述。然而，客户端的秘密需要嵌入到移动应用程序中，这与斯拉克在上的建议背道而驰，后者声明：<

浏览 0提问于2018-04-11得票数 2

2回答

使用oauth2.0导入Google联系人

python、google-api、oauth-2.0、contacts、google-api-python-client

使用python和oauth2.0导入google的可能方法有哪些？我在找其他的方法。

浏览 5提问于2012-04-17得票数 8

回答已采纳

2回答

什么时候在Google OAuth工作流中使用私钥？

security、oauth-2.0、google-oauth

我正在构建一个基于OAuth的工作流来保护一些资源，我想知道Google提供的秘密客户端密钥是否真的对签名JSON (JWT)有用。目前，我正在用access_token从我的前端应用程序中收集用户响应，这似乎足以对用户进行身份验证。我得到了我需要的所有细节和令牌的服务器端验证。我现在遗漏了什么东西吗？

浏览 0提问于2018-12-23得票数 0

回答已采纳

1回答

如何保护OAuth2.0客户端ID和客户端秘密

security、spring-security、oauth、oauth-2.0、spring-security-oauth2

当AndroidOAuth2.0客户端应用程序中有客户端ID和客户端秘密时，它会被硬编码。对应用程序进行反编译和检索凭据非常容易。那么向oauth服务器提供这些凭据的用途是什么呢？

浏览 3提问于2017-05-18得票数 1

回答已采纳

2回答

总是在google oauth进度中获取"redirect_uri_mismatch“

google-oauth

我正在开发一个需要谷歌登录按钮的网站。但我没能拿到access_token。这是我的配置页面和curl结果。 ? ? 

浏览 30提问于2021-04-14得票数 1

2回答

Google Drive SDK Python快速入门示例

python、google-drive-api

当我看到本教程并尝试运行测试代码时，Google Drive SDK Python快速入门示例代码：我收到一个错误，它显示"ValueError: redirect_uri的值不能为None

浏览 15提问于2012-12-01得票数 3

2回答

如何使用OAuth* 2.0为RAML获取访问令牌*

oauth-2.0、mule、raml

我正在使用RAML和API管理器处理Mule项目。通过遵循 OAuth 2.0访问令牌强制执行。grant_type=authorization_code&&client_id=53a406c3e4b0624da8246eed&client_secret=myclientsecretOAuth

浏览 6提问于2014-06-20得票数 2

3回答

Instagram和oAuth

python、oauth、oauth-2.0

我正在编写一个与Instagram集成的应用程序。为了访问一些API，Instagram要求我使用oAuth进行身份验证。我以前从未使用过oAutho，我完全迷失了方向。具体来说，我要用Python (不是我的强大语言)来做这件事，因此，我不知道从哪里开始。因此，我知道，在任何事情之前，我需要得到一个oAuth令牌。Instagram网站给了我一个client_secret和一个client_id。但它也给了我一个重定向URI。我知道这三样东西应该一

浏览 7提问于2012-10-31得票数 4

回答已采纳

1回答

在Google App Engine中部署后，重定向在我的Spring Boot应用程序中不起作用

google-app-engine

我们在我们的项目中实现了OAuth2.0安全性，它在本地与Google App Engine一起工作，与预期的一样。在我们的应用程序中，我们重定向到另一个URL： res.sendRedirect("/oauth/authorize?然而，当我们在Google Cloud平台上部署相同的代码时，我们观察到重定向到另一个网址，并且在Spring Boot中使用sendRedirect()无

浏览 1提问于2018-03-10得票数 0

1回答

OAuth2服务器为“密码”授予类型设置“client_id”广告“客户端_机密”

android、ios、laravel、oauth-2.0

--这是我正在实现的包引用OAuth2规范我有两个关于的问题 “client_id”和“client_secret”在每台设备上是否

浏览 2提问于2014-04-03得票数 5

回答已采纳

1回答

Azure AD Microsoft帐户客户端是公开的，因此不应显示“client_assertion”或“client_secret”

.net、azure、azure-active-directory、razor-pages

我有以下问题： builder.Services

浏览 6提问于2022-09-18得票数 0

点击加载更多