为何Passport.js在Google OAuth2认证中要求提供Client Secret？

首先得明确你给出的示例用的是OAuth2隐式授权流（Implicit Grant Flow）——这个流程确实只需要在前端请求里带上client_id、redirect_uri等参数，不需要client_secret，因为它是纯前端与授权服务器交互，没有后端参与，也就没法安全存储client_secret。

而Passport.js的Google OAuth2策略（passport-google-oauth20）默认是为**授权码流（Authorization Code Flow）**设计的，这个流程针对有后端的应用：

• 用户在前端完成授权后，Google会返回一个授权码（authorization code）到你的后端回调地址
• 后端必须拿着这个授权码，搭配client_id和client_secret向Google服务器交换访问令牌（access token）
• 这个环节的client_secret是用来验证后端合法性的，防止授权码被恶意劫持滥用

如果想在Passport.js里适配隐式流？其实Passport.js的定位是服务端认证中间件，隐式流本身是前端主导的流程，通常不需要通过Passport.js处理。如果你的应用只有前端，直接用你示例里的方式发起隐式流请求即可；如果有后端，更推荐使用授权码流（也就是Passport.js默认的方式）——隐式流会把access token直接暴露在URL哈希中，存在被窃取的风险，授权码流的安全性更高。

总结：

• 你示例的隐式流和Passport.js默认支持的授权码流是OAuth2的两种不同流程，前者不需要client_secret，后者必须提供
• Passport.js以服务端认证为设计目标，默认采用更安全的授权码流，因此要求传入client_secret

内容的提问来源于stack exchange，提问作者A N Syafiq.