Согласно документации Facebook oauth2, поток на стороне клиента не требует параметра секретного кода клиента. Поток на стороне клиента можно использовать как в собственных, так и в мобильных веб-приложениях.
Однако собственный поток oauth2 Google требует секретного кода клиента.
В этом случае секрет клиента может быть украден хакером с помощью инструментов реверс-инжиниринга.
Может кто-нибудь объяснить, почему это было сделано именно так?
Подробнее здесь: https://stackoverflow.com/questions/727 ... ent-secret
