OAuth并安全地获取共享密钥

Question

我正在构建一个可下载的Web应用程序，它打包为ZIP存档。下载的网站管理员通过安装程序。作为安装程序的一个步骤，他被要求从主站点“注册”他的副本。注册成功后，我需要将我软件的特定副本发布为共享密钥/密钥，以便通过OAuth进一步访问API。

请告知最安全和正确的方法。再次，这是步骤：

• 软件下载（每个人都有相同的拉链，不能包含秘密）
• 网站管理员打开向导（将浏览器指向localhost）
• 向导重定向到example.com，用户输入其凭据
然后将
• 用户随之发送回localhost
  • oauth key
  • 共享秘密
• 以后的软件可以直接通过OAuth令牌访问API。

另一个问题是我可以在初始握手期间获得令牌，还是应该稍后执行该步骤。

Answer 1

让Web应用程序本身执行事务本身，然后直接收集秘密。没有用户访问外部网站。