我可以发布我的博客应用程序的 client_id.json 吗？

Question

我正在用 python 编写一个命令行工具来发布/编辑/删除 Blogger 帖子。由于身份验证使用 OAuth2，因此我在 Google API 上请求了 API 凭据。它以 client_id.json 文件的形式出现。

{
  "installed": {
    "client_id": "<removed>",
    "project_id": "<removed>",
    "auth_uri": "https://accounts.google.com/o/oauth2/auth",
    "token_uri": "https://www.googleapis.com/oauth2/v3/token",
    "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
    "client_secret": "<removed>",
    "redirect_uris": [
      "urn:ietf:wg:oauth:2.0:oob",
      "http://localhost"
    ]
  }
}

我打算将应用程序开源。

• 如果有人拥有该文件，这是否意味着他可以访问允许该应用管理其博客的所有人？
• 是否需要单独的用户生成自己的 API 密钥？

Answer 1

不，你不能，这就是原因。

我打算将应用程序开源。

1. 如果某人拥有该文件，这是否意味着他可以访问允许该应用管理其博客的所有人？

是的，如果有人拥有您的凭据文件，他们就可以为所欲为。使用您的帐户并可能向您的开发者帐户发送垃圾邮件导致您无法访问您的帐户，请参阅Can I really not ship open source with Client ID?

1. 是否需要单独的用户生成自己的 API 密钥？

下载您的开源项目并想要使用它的任何人都不需要在谷歌开发者控制台上制作自己的凭据文件。根据TOS，您不得与其他用户共享您的凭据文件。