Доброй ночи, ЛОР.
Слегка подразобравшись с кутешным модулем QtNetworkAuth, мне удалось авторизоваться в Google и заставить работать Contacts API. Правда, пришлось обойти несколько граблей как в Qt (модуль добавили в Qt 5.8, а в 5.10 уже успели поломать), так и с самим Google (контакты возвращаются в собственном велосипедном формате на основе XML, не vCard и даже не xCard). Но это всё не самое интересное.
Когда я регистрирую приложение в гугле, мне выдаётся несколько параметров для OAuth2, в т.ч. так называемый Client secret. Вопросы:
- должен ли я хранить этот самый Client secret в тайне, на что намекает его название, или без доступа к моему аккаунту никакого ущерба для безопасности это не несёт?
- если да, то как я в принципе могу это сделать в программе, распространяемой по лицензии GPL?
В некоторых источниках проскальзывает мысль, что секрета может и не быть, а в RFC 6749 вообще написано: «The client MAY omit the parameter if the client secret is an empty string». Вот только в панели управления гугла я не нашёл, как мне сгенерировать учётные данные приложения с пустым секретом...
