勾选使用 OpenList 提供的API却不显示客户端ID和应用机密

[ypq123456789]

谷歌云盘等是要输入客户端ID和应用机密的

[ypq123456789]

鉴于应用机密不能泄露，应该在openlist设置允许默认留空就采用默认的客户端id和机密？

[ericwang2006]

由于不知道Openlist默认的百度云盘的AppID和AppKey, 目前即使获取了refresh token也无法使用

[xrgzs]

OneDrive 个人版也有这个问题。OneDrive 个人版无法创建应用，需要使用项目提供的应用信息。

OneDrive 个人版创建应用的方法，参考 Rclone 文档：https://rclone.org/onedrive/#creating-client-id-for-onedrive-personal

[xrgzs]

鉴于应用机密不能泄露，应该在openlist设置允许默认留空就采用默认的客户端id和机密？

应用ID和机密需要公开，否则无法挂载为 OpenList 应用。这种东西是用来在本地刷新令牌用的，一般是内置在程序二进制里面，你要逆向也能逆出来，没有必要遮遮掩掩。不能泄露的是 Access Token 和 Refresh Token。

若执意不公开客户端机密，则需将获取 Access Token 的接口部署在作者控制的服务器上。这将导致：

• 客户端每次刷新 Refresh Token 都必须请求作者服务器。

• 所有用户的 Token 都将流经并可能被作者服务器记录，这本身会引入新的信任与隐私顾虑。

翻了下以前文档的代码，可以看到应用ID和机密都是公开的。

然后这个谷歌云盘之前用的是 rclone 的信息，说明 rclone 的 oauth 信息肯定也是公开的。

另外原文档中的 OneDrive 的回调地址是静态文档本身。这个仓库的回调地址指向一个由 Cloudflare Workers 实现的后端，且其部署流程未公开。相比原项目（未改 alistgo.com 之前，alist.nn.ci 通过 Netlify 公开部署流程），这种依赖私有、未透明化部署后端的方式，反而在信任层面引入了更高的潜在风险。

[ypq123456789]

鉴于

说的有道理大佬

[PIKACHUIM]

我认为应用机密不能公开，原因如下：
1、部分网盘明确要求了App不能公开共享（阿里网盘、百度网盘、115网盘），但应用机密是唯一访问凭据
2、Alist未必真的采用了这个代码作为获取token的方式，我们不能证明或者证伪他们的闭源网站使用了何种方式
只有百度网盘例外，因为百度网盘有单独的秘钥用于认证
3、登录的时候仍然需要回调，这本身也存在上述你提到的风险

但这个的确会导致信任问题，除了你说的两个问题，其实还有别的问题

• 虽然服务器使用了SSL认证，但客户端不能确保传回的token不被第三方窃取

所以我认为需要评估一下，这的确是个问题

[PIKACHUIM]

谷歌云盘等是要输入客户端ID和应用机密的

这个问题还在解决中

[jyxjjj]

登录的时候仍然需要回调，这本身也存在上述你提到的风险

我看pr #16 让token用hashtag返回了，服务器拿不到，但是还未合并

部署流程未公开

确实，这毕竟不是CI直接放上去的，即使是也不能排除其他控制，但是这块我认为不是问题，因为开源出来的好处是每个人都可以去部署验证，没必要自证

刷新问题

这还需要集思广益，上述提到诸如只有企业才能申请的key以外，我目前认为最好是自己创建key更好，刷新还是走本地

[Yizelove]

我个人的回答：秘钥公开了还叫秘钥？不相信可以自己拿我们开源项目去搭建，我们只是提供一个便捷通道，我们又不是保姆，也没强制你们去用

[dezhishen]

感谢你的关注，社区也对这个问题进行过讨论，问题在于:

1. 大多数的网盘，协议中不允许公开秘钥。（本身也不符合秘钥概念本身）
2. 部分网盘的申请权限过高，无法覆盖大部分的用户
3. 鉴于此，目前的做法是：
   3.1. 社区提供一个基于cf部署的api服务。
   3.2. 欢迎其他公益服的加入。
   3.3. 最好是自己构建私服，找信得过的人或者团队。

目前只有3.3方案能完全解决安全问题，其他的方案只能尽可能的通过各种途径减少风险。

欢迎提出更好的方案，或者对3.1/3.2的方案进行增强。

[bitxeno]

公开key可能会被官方禁用吧，一般用户只想要一个可信任的统一服务

[xrgzs]

Rclone 的 OneDrive 客户端信息是公开的。

https://github.com/rclone/rclone/blob/476ff65fd7410ea894791dcc3f7be8876b2b8064/backend/onedrive/onedrive.go#L47-L48

可以使用 rclone obscure 命令进行解密：

~
> rclone obscure _JUdzh3LnKNqSPcf4Wu5fgMFIQOI8glZu_akYgR8yf6egowNBg-R
KeM_1Yqq5fZ-HXm5RtorWOmh61yUKIMkC51RDNQzJRtB0_Vi6I7qaDxc44i5RK2X5ojaQANiTvI-0AUUozLR9UjjB4s

它的重定向 Uri是 http://localhost:53682/

[xrgzs]

我们又不是保姆

不同意这个观点，挂载 OneDrive 是基本功能，这个项目需要面向大众用户，必须得是保姆级，至少不能让小白用户都去自行注册开发者账号。

[xrgzs]

部分网盘明确要求了App不能公开共享（阿里网盘、百度网盘、115网盘），但应用机密是唯一访问凭据

OneDrive 的 Refresh Token 经过测试，可以在多个 IP 同时挂载使用，存在安全性风险。

对于其它网盘，因为每个网盘的第三方授权方式都有些不一样，部分网盘的 Refresh Token 为一次性使用，用户用从服务器上获取到的 Refresh Token 挂载上以后，会用 Refresh Token 重新获取新的 Refresh Token 和 Access Token ，之前的 Access Token、Refresh Token 就会立即失效，这样就可以安全使用，服务器上的客户端信息只要不影响挂载和更新密钥，一般也无需公开。