การจัดการไคลเอนต์ ID・ไคลเอนต์ซีเคร็ต

ในการยืนยันตัวตนแบบ OAuth ของ ReceiptRoller จะใช้คู่ของไคลเอนต์ IDและไคลเอนต์ซีเคร็ตที่ออกให้แต่ละแอป ไคลเอนต์ ID เป็นตัวระบุที่เปิดเผยได้โดยไม่มีปัญหา แต่ไคลเอนต์ซีเคร็ตเป็นข้อมูลลับที่เทียบเท่ากับรหัสผ่าน

วิธีการขอ

1. พอร์ทัลนักพัฒนา → แอป → เปิดแอปที่ต้องการ
2. แท็บ "ข้อมูลรับรอง (Credentials)"
3. ไคลเอนต์ ID จะแสดงอยู่（คัดลอกได้）
4. ไคลเอนต์ซีเคร็ตจะแสดงเฉพาะตอนออกครั้งแรกเท่านั้น หลังจากนั้นต้องสร้างใหม่

ความแตกต่างระหว่างไคลเอนต์ ID กับซีเคร็ต

กฎการจัดเก็บ

• จัดเก็บในenvironment variableหรือบริการจัดการซีเคร็ต（AWS Secrets Manager, Azure Key Vault, GCP Secret Manager เป็นต้น）
• อย่าเขียนตรงในซอร์สโค้ด（หากปนเข้า git จะจบเลยเมื่อรีโพซิทอรีรั่วไหล）
• ใช้ซีเคร็ตคนละตัวสำหรับโปรดักชัน／สเตจจิง／การพัฒนา
• สิทธิ์การเข้าถึงให้เฉพาะ service account ของสภาพแวดล้อมโปรดักชันเท่านั้น
• ไม่รวมไว้ในล็อก・การพิมพ์เออเรอร์

การจัดการเมื่อรั่วไหล

1. พอร์ทัลนักพัฒนา → แอป → ข้อมูลรับรอง → "สร้างซีเคร็ตใหม่"
2. จัดเก็บซีเคร็ตใหม่อย่างปลอดภัย
3. อัปเดต environment variable ของสภาพแวดล้อมโปรดักชันแล้วดีพลอย
4. เลือก "เพิกถอนซีเคร็ตเก่าทันที" หรือ "เพิกถอนหลัง 24 ชั่วโมง"
5. ตรวจสอบจากล็อกตรวจสอบว่าไม่มีการใช้งานโดยมิชอบ

การใช้งานในหลายสภาพแวดล้อม

แนะนำให้ลงทะเบียนแอปโปรดักชันและแอปพัฒนาแยกกันเสมอ หากนำหลายสภาพแวดล้อมมารวมในแอปเดียว จะมีความเสี่ยงที่ความผิดพลาดตอนพัฒนาจะส่งผลกระทบต่อผู้ใช้จริงในโปรดักชัน

แอปโปรดักชัน：MyApp Production
  → ไคลเอนต์ ID: prod_xxx
  → ซีเคร็ต: บริการจัดการซีเคร็ตของโปรดักชัน

แอปพัฒนา：MyApp Dev
  → ไคลเอนต์ ID: dev_xxx
  → ซีเคร็ต: .env ของนักพัฒนาแต่ละคน

คู่มือที่เกี่ยวข้อง

• สร้างแอปใหม่
• การขอและการอัปเดตแอ็กเซสโทเคน
• การหมุนเวียนซีเคร็ตและการจัดเก็บอย่างปลอดภัย
• วันที่เผยแพร่: 2569-04-27 วันที่อัปเดต: 2569-07-06