Как поступать с app_key, app_secret при публикации кода?

Вынести в отдельный файл. Назвать tokens.rb, secure_data.rb или ещё как-нибудь. Этот отдельный файл добавить в gitignore и подключать данные из него к основному конфигу.

Я немного не понимаю эту схему - если обычный пользователь(тм) решит это у себя применять, как он будет пользоваться, не имея app_key & app_secret? Может, это нубские вопросы, но я не нагуглил сходу у них на сайте такого.

Зарегает себе новые токены для своего инстанса приложения.

Токены выдаются при регистрации пользователя в dev-секции на сайте дропбокса, я же не могу при потенциальном успехе моего большого проекта всех заставлять регистрировать новые приложения. Или там по-другому работает?

Сам озадачивался таким вопросом, только у меня был доступ к Amazon Web Services. В итоге вынес все ключи в отдельный файл. Хотя потом видел, что проекты типа Clementine и Amarok просто прописывали все эти access и secret ключи прямо в коде.

Вынес в отдельный файл, но они могли использоваться любым, повторно использовавшим твой код? Или остались доступны только тебе?

Только у себя в файле настроек, в публичный доступ не выкладывал. Хотя если бы я был заинтересован в распространении своего приложения, то прописал бы в коде и не парился.

Лично я захардкодил. Но у меня desktop приложение.

Записать в переменные окружения, а в конфиге/приложении читать из переменных окружения?

Я немного не понимаю эту схему - если обычный пользователь(тм) решит это у себя применять, как он будет пользоваться, не имея app_key & app_secret?

Так же, как и ты: регистрируется в Dropbox, создаёт там приложение, использует полученные app_key & app_secret в твоём скрипте. Тебе остаётся только написать инструкцию.

Как это делается в Heroku: https://devcenter.heroku.com/articles/config-vars