OAuth 및 공유 비밀을 안전하게 얻으려면

Question

나는 다운로드 가능한 웹 응용 프로그램을 만들고 있는데, 이는 ZIP 보관 파일로 패키지되어 있습니다. 다운로드 한 웹 마스터는 설치 프로그램을 통해 가져옵니다. 설치 관리자의 한 단계로서 그는 메인 사이트에서 자신의 사본을 "등록"하도록 요청받습니다. 등록이 성공한 후에는 OAuth를 통한 API 액세스를 위해 공유 된 키/비밀 키를 특정 소프트웨어 사본에 발급해야합니다.

가장 안전하고 올바른 방법으로 알려주십시오. 마법사의 경우 사용자 example.com로 리디렉션

(로컬 호스트에서 자신의 브라우저를 지정하여)

웹 마스터가 마법사를 엽니 다 (비밀을 포함 할 수 없습니다, 모두 동일한 우편)

• 소프트웨어 다운로드 : 다시 말하지만, 여기 단계입니다 자신의 자격 증명
• 사용자가 다음 비밀 공유
• 키
  • OAuth를 함께 localhost로 다시 전송됩니다 입력
• 향후 소프트웨어에서 OAuth 토큰을 통해 직접 API에 액세스 할 수 있습니다.

또 다른 질문은 초기 핸드 셰이크 중에 토큰을 얻을 수 있습니까? 아니면 나중에 해당 단계를 수행해야합니까?

Answer 1

웹 응용 프로그램 자체에서 트랜잭션을 수행 한 다음 직접 비밀을 수집하십시오. 사용자가 외부 사이트로 이동하지 않도록하십시오.