OAuth客户端凭证应用绑定规则及密钥轮换建议咨询

1. 凭证是否与单一应用绑定？共享后其他应用能否使用？ #

• Client Id 和 Client Secret 是和你在 OAuth 服务端注册的特定应用一一绑定的，服务端会通过这组凭证识别请求的归属应用。
• 如果把凭证共享给其他应用，对方确实能使用它请求令牌，但这属于严重的安全违规：拿到令牌的第三方可完全冒充原应用操作资源，所有非法操作的责任都会落到原应用头上。另外，多数 OAuth 服务端会校验请求的回调地址、来源等信息，若与注册配置不符，会直接拒绝请求，甚至封禁这组凭证。

2. 行业最佳实践：是否需要轮换凭证？ #

• Client Secret 必须定期轮换：这是公认的安全准则，Secret 本质是应用的"密码"，一旦泄露就可能被恶意利用。轮换周期可按业务风险设定：低风险场景每6个月换一次，高风险（涉及用户敏感数据等）建议1-3个月轮换。
• Client Id 通常不需要轮换：Client Id 是公开的应用标识，本身无敏感性，除非出现针对该 Id 的定向攻击，否则没必要更换。
• 额外最佳实践：
  • 绝对不能把 Client Secret 硬编码到前端代码、APP 安装包这类易被反编译的地方，要存放在后端安全的配置管理系统中。
  • 开发、测试、生产环境需使用独立的凭证，避免测试环境的泄露影响生产业务。
  • 开启 OAuth 服务端的凭证使用监控，一旦发现异常请求（如异地登录、高频请求），立即吊销旧凭证并生成新凭证。

内容的提问来源于stack exchange，提问作者Sachindra