移动应用程序上的 OAuth
我想创建一个利用 Facebook 和 Twitter 的 Android 应用程序。我本来计划使用 OAuth，但我想得越多，我就越不相信这是最好的解决方案。我关心的是消费者密钥，它用于验证应用程序。我可以安全地存储访问令牌的密钥，因为如果密钥被泄露，用户只需要重新进行身份验证，他们就会拥有一个新密钥；但是，如果消费者秘密受到泄露，我的应用程序作为一个整体就会在所有设备上受到损害，因为它是特定于应用程序的，而不是特定于用户的。这对于网络应用程序来说很好，因为它存储在安全的中央服务器上，但对于安装在多个设备中的移动应用程序来说，这似乎很危险。我不喜欢将消费者密钥放在许多设备上等待被泄露的想法。所以，我想我的问题是我应该使用 OAuth 还是有其他更好的方法。
I want to create an Android application that takes advantage of Facebook and Twitter. I was planning on using OAuth but the more I think about the less confident I become in this being the best solution. My concern is with the Consumer Secret key, the one used to authenticate the application. I can safely store the Access Token's secret key because if that gets compromised the user just needs to reauthenticate and they have a new one; however, if the consumer secret gets compromised, my application as a whole gets compromised across all devices since it is app, not user, specific. This is fine for web apps since it is stored on a secure central server, but for mobile apps where it is installed in multiple devices it seems dangerous. I don't like the idea of having that consumer key sitting on a number of devices just waiting to be compromised. So, I guess my question is should I be going with OAuth or is there some other better method out there.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
我们使用 OAuth 没有任何问题。另请参阅此处：
http://blog。 oauth.net/2009/04/22/acknowledgement-of-the-oauth-security-issue/
We use OAuth without any problems. Also see here:
http://blog.oauth.net/2009/04/22/acknowledgement-of-the-oauth-security-issue/