要使用谷歌云端硬盘API,我必须使用OAuth2.0进行身份验证。对此我有几个问题。
客户端ID和客户端密钥用于识别我的应用程序。但如果它是客户端应用程序,则必须将它们硬编码。因此,任何人都可以从源代码中反编译并提取它们。这是否意味着一个不良应用程序可以通过使用好的应用程序的客户端ID和密钥来冒充好的应用程序? 因此,当实际上是由不良应用程序请求时,用户会显示一个请求授权许可的屏幕,以便授予好的应用程序的权限?如果是,我该怎么办?还是说我其实不需要担心这个问题?
在移动应用程序中,我们可以嵌入一个Webview到我们的应用程序中。由于请求权限的应用程序实际上是一个“浏览器”,所以很容易从Webview中提取密码字段。 因此,在移动应用程序中使用OAuth不具有客户端应用程序无法访问服务提供商的用户凭据的好处吗?