OAuthクライアントIDはネット上に公開してもいいもの？

Question

JavaScriptクライアントライブラリを使用してGoogle API（GoogleAnalyticsAPI）から値を取得するコードを書いています。

ライブラリの初期化のためにOAuthクライアントIDを設定する必要があるようなのですが、クライアントIDの作成工程を記録している技術記事やブログを見てみると、クライアントIDの部分をモザイク処理しているサイトがほとんどでした。

クライアントIDとはソースコードから読み取れる状態で公開はいけないものなのでしょうか？
公開するべきではない場合、公開すると第三者にどんなことができるのかも併せて教えていただければ嬉しいです。

Answer 1

クライアントIDだけであれば直接問題となることは少ないと思いますが、公開すべき状況がまず考えられません。
公開する必要がないのに公開するのは無意味ですし、危険度を上げるだけになります。

例えばあなたが会社の金庫の鍵を持つ立場になったとして、
会社外部の人に「私は会社の金庫の鍵を持っています」と公言してしまっているのと同じ状況です。
悪い人がその情報を聞いたとき、悪い人はあなたの周りを探して鍵を見つけるかもしれませんし、
直接あなたから何かしらの方法で鍵を奪うかもしれません。

ネット上の話も同様です。
無駄に「私のクライアントIDはこれです」と公言すれば、あとはもう片方のキーさえわかってしまえば
あなたのアカウント情報で使いたい放題使えることになってしまいます。

じゃあもう片方のキーはどうやって探すのかというと、手当たり次第に試して見つかるかもしれませんし、
もしかしたらあなたがポロッと間違えて公開してしまった情報から見つかるかもしれません。

それを踏まえて、

クライアントIDとはソースコードから読み取れる状態で公開はいけないものなのでしょうか？

Web上で見れてしまうのであればまずいです。
たとえばWebサーバにアクセスすれば見れるJavaScriptとか、
githubにあげるコードとか、
そういうコードに直書きで入れてしまうのは危険ですね。

公開するべきではない場合、公開すると第三者にどんなことができるのかも併せて教えていただければ嬉しいです。

もう片方のキーも知られてしまった場合、そのAPIでできることはなんでもできます。
従量課金系のものであれば勝手に使われてあなたが支払う、なんてこともあるかもしれません。

Answer 2

OAuthでは、クライアントIDとクライアントシークレットのペアで何がしかのAPIを実行します。
そのキーの片方を公開してしまう、というのは、あまりオススメできないように思います。