Google OAuth设备流要求client_secret原因及硬编码安全性咨询

问题1：为何Google API的设备流要求传入client_secret #

RFC 8628中确实仅将client_secret列为机密客户端发起设备流令牌请求时的可选参数，公共客户端无需携带。但RFC规范本身允许OAuth服务提供商根据自身安全策略自定义必填参数，Google的设备授权流实现将client_secret设为全类型客户端的必填参数，出发点是降低未授权第三方滥用客户端ID发起恶意请求的风险，官方公开文档未明确标注属于文档遗漏。

问题2：硬编码client_secret暴露的安全风险 #

将client_secret硬编码在可下载的TV应用中本身不符合敏感信息存储的最佳实践，针对Google API场景的具体影响如下：

• 整体风险等级中低：TV和受限输入设备类客户端ID的授权流程必须依赖用户主动完成二次验证，用户需要在自有信任设备上登录Google账号、输入设备展示的验证码才能完成授权，单独泄露的client_secret与client_id无法直接获取任意用户的访问令牌。
• 可能的风险包括：
  • 恶意方可利用泄露的凭证伪装成你的应用发起设备授权请求，通过伪造验证页面诱导用户输入验证码，骗取用户授权后访问其绑定的Google资源，不仅会造成用户数据泄露，还会影响你的应用的品牌信任度，严重时Google可能会封禁你的客户端ID。
  • 恶意方大量发起无效授权请求会消耗你的客户端ID对应的API调用配额，导致你的正常业务请求被限流拒绝。

内容的提问来源于stack exchange，提问作者mvlabat