为什么要隐藏“消费者秘密”？

Question

我目前正在使用 javascript 编写一个 twitter 客户端，然后发现很多人提醒 javascript 开发人员不要泄露“消费者秘密”。但他们从未说出原因。

那么为什么隐藏我的 consumer_secret 如此重要？如果有人想在他的应用上显示我的“via My_App”，让 My_App 这个名字更出名，我为什么要担心什么？毕竟，你不能从我的consumer_secret中得到任何有用的信息，用户信息同时受到https和token_secret的保护。

Answer 1

恶意开发者可能会使用您的消费者密码创建垃圾邮件应用程序。如果有足够多的垃圾邮件帐户正在使用垃圾邮件应用，Twitter 可能会禁用整个消费者密钥，此时您的整个应用程序将无法再与 Twitter 一起使用。

Answer 2

您可以将消费者机密视为密码——它向服务器标识您的客户端。知道您的消费者秘密的任何人都可以冒充您的应用。

所以你需要保证它的安全，你不想“隐藏”它；你想加密它。这应该发生在服务器上，从不在您发送给用户的 javascript 应用程序中。

您可以在 Google 的support page 找到很多有用的信息。