Как следует обращаться к CLIENT_SECRET для OAuth?
У меня есть ExtJS SPA и веб-приложение Django. Для аутентификации я пытаюсь реализовать OAuth с помощью Google. Из статей, которые я прочитал по этому поводу, я понял, что client_secret не должен храниться на стороне клиента, в моем случае в приложении NextJS. Что меня смущает, так это то, что когда пользователь пытается войти в систему, ему нужно будет получить доступ к client_secret. Допустим, я извлекаю client_secret через API, когда пользователь пытается войти в систему, а затем использую извлеченный client_secret. Разве он по-прежнему не будет подвержен воздействию потенциальных злоумышленников?
Каков был бы безопасный способ хранения и извлечения сохраненных client_secret?
Я пытался следовать руководству next-auth по настройке Google OAuth, но client_id и client_secret, оба сохраненные в приложении NextJS, противоречат рекомендациям, связанным с реализациями OAuth.