Cách chuẩn để xử lý các khóa API twitter trong các ứng dụng máy tính để bàn GPL là gì?

Question

Trong khi phát triển một ứng dụng máy tính để bàn cần truy cập API twitter, một cách nào đó phải vượt qua khóa API (ứng dụng khóa người tiêu dùng cụ thể và bí mật người tiêu dùng) cho ứng dụng cho người dùng. TOS API của Twitter tuyên bố rằng khóa API của ứng dụng không thể được công bố công khai và nếu điều đó xảy ra, chúng sẽ thiết lập lại nó. Khi ứng dụng đó nằm trong GPL, có nghĩa là nhà phát triển cần cung cấp mã nguồn cho người dùng, người dùng đó sẽ có thể lấy khóa API mà không có sẵn công khai như thế nào? Có cách nào tiêu chuẩn để xử lý vấn đề này không? Cảm ơn.

Chỉnh sửa: Để làm rõ tình hình, tôi đã lưu trữ chúng ở dạng văn bản thuần túy trong mã của tôi cho cree.py cho đến nay là một quyết định có ý thức. Nhưng nhóm hỗ trợ Twitter hôm qua đã liên lạc với tôi rằng họ đã lấy lại chìa khóa của tôi và lý do của họ là như sau:

C. Bạn không nên lấy chìa khóa hoặc bí mật người tiêu dùng của nhà phát triển khác kiểm soát của nhà phát triển đó. Các khóa và bí mật bị xâm nhập sẽ được đặt lại bởi Twitter. Ví dụ: các dịch vụ trực tuyến yêu cầu các giá trị này để cung cấp dịch vụ "thương hiệu tweet" không được phép. https://dev.twitter.com/terms/api-terms Nếu khóa của ứng dụng được đăng công khai, nó cho phép các bên bên ngoài xâm nhập quyền truy cập API của ứng dụng. Điều này thể hiện một nguy cơ lạm dụng rất lớn, và như vậy chúng tôi đã thiết lập lại các khóa API của bạn. Hãy cẩn thận để đảm bảo rằng các khóa này không được đăng công khai một lần nữa.

Cảm ơn, Twitter Policy API

Answer 1

Vâng, TTYtter rõ ràng sử dụng hệ thống danh dự:

# yes, this is plaintext. obfuscation would be ludicrously easy to crack, 
# and there is no way to hide them effectively or fully in a Perl script. 
# so be a good neighbour and leave this the fark alone, okay? stealing 
# credentials is mean and inconvenient to users. this is blessed by 
# arrangement with Twitter. don't be a d*ck. thanks for your cooperation. 
$oauthkey = (!length($oauthkey) || $oauthkey eq 'X') ? 
     "XXXXXXXXXXXXXXXXXXXXX" : $oauthkey; 
$oauthsecret = (!length($oauthsecret) || $oauthsecret eq 'X') ? 
     "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX" : $oauthsecret; 

(Tôi đã thay thế các phím thực tế với Xs, để làm cho nó một chút ít khả năng là bất cứ ai sẽ gặp rắc rối để lạm dụng chúng, nhưng hãy yên tâm rằng chúng có mặt đầy đủ trong nguồn thực tế!)

Ngoài ra, tôi không thấy bất cứ điều gì trong số Rules of the Road thực sự yêu cầu bạn để giữ những điều này bí mật: điều gần nhất tôi thấy là tuyên bố "Các phím và bí mật bị xâm nhập sẽ được đặt lại bởi Twitter."; họ không bao giờ thực sự nói những gì "bị xâm nhập" có nghĩa là, mặc dù.

Answer 2

Tôi có thể dày đặc ở đây, nhưng tại sao bạn không lưu trữ chúng trong tệp cấu hình, sổ đăng ký Windows vv và tải chúng từ đó? Sau đó phân phối ứng dụng mà không cần tệp và bạn đã hoàn tất.

Answer 3

Có lẽ giải pháp khác sẽ được sử dụng một máy chủ, máy chủ tương tác với api twitter, và quý vị yêu cầu thông tin cho máy chủ của bạn với ứng dụng desktop của bạn

Như vậy, chìa khóa API là chỉ được lưu trữ trên máy chủ và không phải bất kỳ người dùng nào cũng có thể nhận được.