Python 怎么在项目文件里隐藏自己的 API 密钥？

[MiketsuSmasher]

最近在做一个启动器，做到使用微软账号登录的部分，看到这样一段：

The next step is to get an access token from the auth code. This isn't done in the browser for security reasons.

This exchange should be done on the server-side as it requires the use of your client secret which, as the name implies, should be kept secret.

POST https://login.live.com/oauth20_token.srf
 client_id=<your client id>
 &client_secret=<your client secret>
 &code=<auth code / the code from step 1>
 &grant_type=authorization_code
 &redirect_uri=<your redirect uri>

像这种需要client_secret才能使用的认证服务，client_secret一般怎么保存（或者隐藏）？

[lfzyx]

用环境变量

[ipwx]

.gitignore

去掉一个配置文件

[CEBBCAT]

这段英文的意思应该是在说：
不要在浏览器里完成 auth code -> access token 的操作，应该在服务端去做，这样才比较安全。
而之所以需要在服务端去做，是因为这个过程中无可避免地需要使用到 client_secret ，就如同这个 secret 的意思，它应该被保密。

至于怎么在服务端存取，我见过有人用环境变量的

[MiketsuSmasher]

@CEBBCAT 懂了，就是说这种活根本不应该在用户那里做，不过我手头没有云服务之类的东西

[ysc3839]

没记错的话微软的 API 配置为 Public client 就不需要 secret ，不过 redirect URI 有限制。

[imn1]

所有账密相关都应外部导入（文件放在项目外），设置一个 config 变量让用户自己填写
放在项目里面，或者写入代码，都是自用方便而已，不是给客户用的

[akriafly01]

变量放在.env 里，然后把这个文件放到.gitignore 里就行了