我应该在 Django 中的哪里存储 client_secret 密钥？

Question

我使用django-rest-social-auth (Oauth2) 构建了一个带有Django REST 后端的Android 应用程序。一切正常，但我想知道我应该在哪里/如何存储 client_secret（在 /admin 中创建的 OAuth Django 应用程序）密钥，用于第一次调用转换我的 user_token（或用户名/密码，如果通过凭据记录） ) 到一个access_token，它将在接下来的所有调用中使用。

确实，我已经读到它不能存储在我的 Android 应用程序中，因为它可以被反编译。因此，我将其存储在我的服务器上并根据传入的client_id 检索正确的client_secret。但不知道是不是经典的处理方式。

Answer 1

在服务器上存储 Django 的秘密通常是通过环境变量来完成的，尽管有几个库旨在整理这个过程，例如我喜欢 Django environ，尽管这不仅仅是隐藏秘密。