【问题标题】：How are API keys distributed and used within 3rd party apps?API 密钥如何在 3rd 方应用程序中分发和使用？
【发布时间】：2020-10-27 08:53:19
【问题描述】：

我曾经使用过一个名为 mps-YouTube 的程序。它允许轻松播放 YouTube 播放列表。目前它不再起作用，因为已经达到了限制（大概是因为每个 mps-YouTube 用户共享相同的 API 密钥）。

这让我很奇怪。您需要向 google 注册一个 API 密钥，但您可以免费使用 YouTube（即使是广告拦截也没有任何问题）。

既然我必须使用 API 来通过浏览器观看 YouTube 视频并且没有 API 密钥，为什么 mps-YouTube 需要 API 密钥？

什么会阻止某人从 mps-YouTube 等开源项目中获取密钥并在其他任何地方使用它？

【问题讨论】：

【解决方案1】：

既然我必须使用 API 来通过浏览器观看 YouTube 视频并且没有 API 密钥，为什么 mps-YouTube 需要 API 密钥？

Google 使用 API 密钥来识别向其 API 发出请求的应用程序。如果有很多请求来自此应用程序，则应用程序将被关闭或限制。

什么会阻止某人从 mps-YouTube 等开源项目中获取密钥并在其他任何地方使用它？

应用程序开发人员在创建项目时同意违反 Google 的 TOS。与他人共享任何 google 密钥或凭据，包括将它们放入开源项目中。所以这不是问题，因为它不会/不应该发生。见：Can I really not ship open source with Client ID?

mps-YouTube TOS 违规

我快速搜索了该项目的源代码，发现代码中的 API 密钥实际上仍然存在，我已经为他们发布了一个问题 Google TOS violation ，解释了为什么这是一个坏主意。

【讨论】：

不，这意味着每个应用程序都需要自己的密钥。如果您下载他们的代码并运行他们的应用程序，您需要自己的 api 密钥。如果我下载他们的应用程序并运行他们的代码，我需要我自己的 api 密钥。
@DaImTo：我看到了你的问题帖子；这是一个很好的观点，但不幸的是，我想项目开发人员不会太在意它：只看他们的 README 文件，说明他们的应用程序确实从 YouTube 下载音频/视频。这已经不符合 YouTube 的 DTOS。（免责声明：没有查看源代码以查看下载是否实际发生。）