我有一个基本上是谷歌云端硬盘客户端的Electron应用程序。我打算使用OAuth 2. 然而,Google API要求我注册我的应用程序并生成client_secret。由于这是一个桌面应用程序,我的client_secret存储在服务器上。身份验证URL在服务器上生成并发送给用户。 我担心人们可以假装成应用程序并代表我的client_secret执行操作。如果某个恶意意图的人创建未经授权的应用程序并向我的服务器发送请求,他们理论上可以代表我的应用程序执行恶意操作。 是否有什么我可以做来缓解这个问题或者这不是个问题吗?编辑:人们只能访问自己的文件。就像他们在drive.google.com上一样(读/写/删除文件)