Oauth 2.0クライアントIDとクライアントの秘密を保護する方法

Question

Android oauth 2.0クライアントアプリケーションにクライアントIDとクライアントシークレットがハードコードされている場合。アプリケーションを逆コンパイルして資格情報を取得するのは非常に簡単です。 次に、これらの資格情報をoauthサーバーに提供する方法を説明します。

Answer 1

client_secretは秘密にしておくことができないので、正確にモバイルアプリのシナリオでは、「機密クライアント」と呼ばれるものを使用するネイティブアプリケーション、すなわちにハードコードclient_idとclient_secretにはお勧めしません。

ネイティブ・アプリケーションは、通常、許可サーバーの「パブリック・クライアント」、つまりclient_secretを持たないものです。一意のリダイレクトURIが登録され、PKCE（https://tools.ietf.org/html/rfc7636）のような追加のOAuth機能が適用されるという事実からセキュリティが得られます。ネイティブアプリケーション用のOAuth 2.0を使用しての一般的な推奨事項については

は、以下を参照してください。 https://tools.ietf.org/html/draft-ietf-oauth-native-apps、特にセキュリティ上の考慮事項で： https://tools.ietf.org/html/draft-ietf-oauth-native-apps-10#section-8