为Google的Oauthconfiguration开发和生产秘密

我从来没有部署过实施Google OAuth协议的服务，但是我想（如果我错了，请纠正我）来区分生产和开发版本我应该有两个OAuth凭证，一个用于生产，另一个用于开发各自的callbackurl，例如。 example.com和localhost：777 。 现在我正在编码，我必须检查构build是否用于生产，并从安全的地方获取这些凭证，并从本地资源获取我的开发凭证，但是我很困惑，因为它们都具有相同的清除级别。 请有人澄清一下我的这个困惑，特别是涉及到的安全问题？ 正如我所看到的，每次我提交代码时，我都应该改变Google API的开发凭证，甚至比开发环境的凭证更加简单。

我正在为使用docker部署的Android应用程序开发NodeJSrest服务。