Android Instagram OAuth与thiago locatelli库

我正在Android应用程序中实现instagram访问。到目前为止，以下库用于获取访问令牌，这似乎非常流行。 在Instagram Api指南中，我读到“你不应该将你的客户机密发送到你无法控制的设备上。”

库不就是这么做的吗，因为它在用户的设备上使用客户机机密？

---

有人能解释一下，如果/为什么这样做是合法的吗？

我会在运行时创建客户机密钥。对应用内购买密钥执行了相同的操作

重要提示：为了防止您的公钥受到恶意用户和黑客的攻击，请不要将公钥作为一个完整的文本字符串嵌入。相反，在运行时从片段构造字符串或使用位操作（例如，与其他字符串的异或）隐藏实际键。密钥本身不是秘密信息，但您不想让黑客或恶意用户轻易地用另一个密钥替换公钥