Google OAuth 2.0 PKCE流程是否需客户端密钥？开源macOS应用疑问

1. 公开暴露客户端密钥是否安全？ #

绝对不安全。尤其是你的凭据关联的GCP应用拥有读写权限，一旦密钥泄露，攻击者可以利用它伪造请求，获取甚至篡改用户的联系人数据，还可能导致你的GCP项目被滥用（比如触发API调用限额、产生不必要的费用）。那些公开密钥的开源项目，要么是授权范围非常有限（仅能访问公开只读数据），要么是有额外的防护机制，但你的场景完全不适合这么做，绝对不能把密钥放到公开代码库。

2. 使用带PKCE的授权码流程时，是否确实不需要客户端密钥？ #

要看你创建的OAuth凭据类型：

• PKCE本质是为公开客户端（比如桌面、移动应用，这类应用无法安全存储密钥）设计的，针对这类场景，PKCE+授权码流程确实不需要客户端密钥。
• 你遇到"client_secret" is missing错误，大概率是因为你在GCP控制台创建的是「Web应用」类型的凭据。Web应用类型的凭据即使搭配PKCE，Google依然要求提供client_secret；而「桌面应用」（包含macOS）类型的凭据，在使用PKCE的授权码流程时，不需要传入client_secret，Google会自动忽略这个参数。

3. 是否存在无需暴露客户端密钥但仍能获取刷新令牌的其他流程？ #

有，这才是适合你的正确方案：

• 在GCP控制台创建**「桌面应用」类型的OAuth凭据**，不要选择Web应用类型。
• 配合PKCE实现授权码流程：
  1. 生成code_verifier（随机字符串）和code_challenge（用SHA-256哈希code_verifier后编码得到）。
  2. 构造授权URL时，带上code_challenge、code_challenge_method=S256，同时必须加上access_type=offline参数（否则不会返回刷新令牌）。
  3. 用户授权后，用回调返回的code加上code_verifier去请求令牌，此时不需要传入client_secret，就能拿到包含refresh_token的响应。
• 你提到的iOS/Android/UWP凭据是针对特定平台的，macOS属于桌面应用范畴，不需要关联商店ID，只要配置正确的自定义重定向URI（比如com.your-app-id:/oauth2callback）即可。

内容的提问来源于stack exchange，提问作者Zach the Dev