client_secret.json在 Google Drive API 的 OAuth 2.0 授权流程中使用了一个文件（示例）。

如果我包含client_secret.json在我的 Java 应用程序中，访问 JAR 内容非常容易。那么，我应该担心吗？我没有办法让这个文件“秘密”。

使用这些信息可以做些什么错误？最终用户必须授予对我的应用程序的访问权限才能访问他的Google Drive 文件。

更新：似乎可以分析两种情况。

• 只能用 做什么client_secret.json？

这是我第一个问题的意图。我唯一能想到的是，如果用户将他的帐户链接到我的应用程序，它可能会耗尽我的 Drive API 的免费配额（每天 1,000,000,000 个请求）。

• 有人访问存储的用户凭据（StoredCredential在示例中为文件）加上client_secret.json.

我想这是最坏的情况，因为“某人”可以在用户帐户中充当我的应用程序。

更新 2：可在此处找到 Google 文档：将 OAuth 2.0 用于已安装的应用程序

从 Developers Console 获得的客户端 ID 和客户端密码嵌入在应用程序的源代码中。在这种情况下，客户端机密显然不被视为机密。