javascript - PHP 用の Google API にはクライアント シークレットが必要ですが、Javascript 用の Google API には必要ないのはなぜですか?

Question

PHP 環境で初めて Google API を試したときに、API コンソールから取得した「クライアント シークレット」キーを使用する必要があったことはわかりません。Javascript api の例では、そのようなキーは必要ありません。キーがあれば、コードは秘密ではなくなることを理解しています。

Google がまだ PHP コードでキーを必要とする理由はありますか? JS と PHP の API に違いはありますか? PHP でしかできないことはありますか?

Answer 1

OAuth2 仕様は、クライアントの種類を区別し、それぞれに異なるワークフローを提供します。

通常、仕様では、本格的な「認証コード付与」シナリオが提案されています。PHP アプリケーションはエンド ユーザーから離れた Web サーバーで実行されるため、PHP アプリケーションはそのクライアント シークレットを外部から保護できます。

反対に、組み込みクライアント (電話で実行されているアプリケーションやブラウザーの JavaScript など) は、外部から簡単にアクセスできる環境であるため、クライアント シークレットを保護できません。そのため、仕様には、クライアント シークレットの使用を必要としない、まったく異なる "暗黙の許可" シナリオがあります。