移动应用程序中OAuth的客户端秘密

Question

Slack API文档似乎存在不一致，因为OAuth流程要求提供client_secret作为OAuth令牌代码交换的一部分，如https://api.slack.com/methods/oauth.access所述

然而，客户端密码需要嵌入到移动应用程序中，这违反了Slack在https://api.slack.com/docs/oauth-safety的建议，其中指出：

应妥善处理您的客户秘密。在与Slack交换令牌时，您可以安全地识别应用程序的权限和身份。不要在电子邮件，分布式本机应用程序，客户端javascript或公共代码存储库中分发客户端机密。

在如何管理这种差异方面是否有任何最佳做法可用于auth需要客户端密码但同时不应嵌入到移动应用程序中？

Answer 1

Slack仅支持OAuth2.0的Authorisation Code流程，但它不支持public个客户端仅confidential个客户端。它也不支持PKCE flow。

如果您正在开发移动应用，那么他们的FAQ page建议使用RTM API：