公开Google Cloud项目OAuth2 Client ID是否安全？

• 结论：完全可以放心公开这个Client ID，不会有安全风险。
• 核心原因：
  1. 你配置的是Chrome扩展专属的OAuth客户端ID，且已与未打包扩展的ID绑定。Google的OAuth验证机制会严格校验请求发起者的扩展ID，只有和你在Cloud项目中配置的ID完全匹配的扩展，才能用这个Client ID完成授权流程。其他人就算拿到这个ID，也没法在自己的扩展或其他环境中调用，来源ID不匹配会直接被拦截。
  2. Chrome扩展类型的OAuth客户端本身没有Client Secret（这是和Web应用类型的关键区别），不存在泄露密钥的问题。
• 额外提示：
  • 后续如果把扩展打包发布到Chrome应用商店，记得在Google Cloud项目里把授权来源更新为商店分配的正式扩展ID即可，之前的未打包ID绑定不会影响后续使用。
  • 注意别在代码里混入其他敏感信息，比如用户个人令牌、Cloud项目的服务账号密钥等，这些才是需要严格保密的内容。

内容的提问来源于stack exchange，提问作者GunnableScum