Wo sollte ich einen Schlüssel client_secret in Django speichern?

Question

Ich habe eine Android App mit einem Django REST Backend unter Verwendung django-rest-social-auth (Oauth2) gebaut. Alles funktioniert gut, aber ich frage mich, wo/wie sollte ich die client_secret (der OAuth Django App erstellt in/admin) Schlüssel, verwendet für den ersten Anruf, um meine user_token (oder Benutzername/Passwort, wenn von Anmeldeinformationen angemeldet) zu einem access_token das wird in allen folgenden Anrufen verwendet.

In der Tat habe ich gelesen, dass es nicht in meiner Android App gespeichert werden kann, wie es dekompiliert werden kann. So speichere ich es auf meinem Server und erhalte das richtige client_secret entsprechend dem eingehenden client_id. Aber ich weiß nicht, ob es der klassische Weg ist, damit umzugehen.

Answer 1

Das Speichern von Geheimnissen für Django auf Servern erfolgt oft mit Umgebungsvariablen, obwohl es mehrere Bibliotheken gibt, die darauf abzielen, den Prozess aufzuräumen. Ich mag zum Beispiel Django environ, aber das tut ein bisschen mehr, als nur Geheimnisse zu verstecken.