下表总结了应用必须管理的凭证。如需详细了解应用类型，请参阅 Google Identity OAuth 2.0 文档。
| 身份验证工作流 | 凭据 | 凭证类型 | 用途 |
|---|---|---|---|
|
JavaScript Web 应用 Android 应用 |
OAuth 客户端 ID | 应用凭证 | 在 OAuth 流程中唯一标识应用。 |
| 访问令牌和刷新令牌 | 用户凭据 | 表示用户授权应用代表他们访问其 Google Ads 账号。 | |
|
服务器端 Web 应用 桌面应用和 iOS 应用 电视和设备配套应用 |
OAuth 客户端 ID 和客户端密钥 | 应用凭证 | 在 OAuth 流程中唯一标识应用。 |
| 访问令牌和刷新令牌 | 用户凭据 | 表示用户授权应用代表他们访问其 Google Ads 账号。 | |
| 服务账号 | OAuth 服务账号密钥 | 应用凭证 | 用于对 OAuth 请求进行签名。 |
| 服务账号的访问令牌 | 用户凭据 | 表示用户与服务账号共享其 Google Ads 账号时，服务账号获得的授权。 |
在管理 Google Ads API 应用的凭证时，需要考虑以下几点。
安全地处理应用凭证
应用凭据是指特定于您的应用且不会因用户而异的设置。请务必谨慎对待您的 OAuth 应用凭据，因为任何拥有这些凭据的人都可以使用您应用的身份来获取用户信息。将 OAuth 应用凭据存储在安全的位置，并像保护密码一样保护这些凭据。尽可能使用 Secret Manager（例如 Google Cloud Secret Manager）来存储应用凭证。切勿将客户端凭据提交到公开可用的代码库。我们强烈建议您避免将其提交到任何代码库。
安全地处理用户凭证
用户凭证是指代表用户授权的 OAuth 令牌。 这些令牌是用户委托给您的，他们授权您代表他们执行操作和访问数据，授权方式可以是直接对您的应用进行身份验证，也可以是间接与您的服务账号共享其 Google Ads 账号。切勿以明文形式传输令牌，并始终以加密形式存储令牌，以便在发生数据泄露时提供额外的保护。当您不再需要访问用户账号时，请撤消令牌或服务账号权限。撤消令牌后，请将其从应用或系统中永久删除。
处理刷新令牌撤消和过期
如果您使用用户身份验证流程，请注意，刷新令牌可能随时失效。例如，如果您使用多用户身份验证流程，用户可以选择撤消对您应用的访问权限。虽然使用单用户身份验证流程的应用不太可能受到这种影响，但旨在保护用户的手动或自动流程仍可能会清除刷新令牌，或者刷新令牌可能会过期。如果您的应用需要收到令牌撤消通知才能为用户提供良好的体验，您必须与跨账号保护服务集成。
在 API 请求中重复使用用户凭证
OAuth 访问令牌是短期有效的，会在一小时后过期。如果您使用 Google Ads API 客户端库，该库会以线程安全的方式处理访问令牌过期和刷新。使用适当的 OAuth 凭证构建 Google Ads API 客户端对象，并在其整个生命周期内重复使用。
如果您构建自己的访问令牌刷新和管理策略，请跟踪访问令牌到期时间，并在令牌有效期间重复使用令牌。当您请求刷新令牌时，授权服务器会返回一个新的访问令牌以及剩余生命周期（以秒为单位）(expires_in)。我们建议您在访问令牌到期前 5 分钟内主动刷新该令牌。