Angularjs 客户端中的节点oauth2服务器和客户端凭据

我实际上正在使用Node-oauth2-server（），我有一些问题

1）我实际上使用的是授权类型作为密码和刷新令牌，我必须在客户端设置客户端id和客户端机密。

在客户端公开我的客户机密和我的客户id不是一个安全问题吗？（AngularJS）

2）我想给其他用户/公司一个API密钥以访问我的REST API。

我应该如何处理此库

3）什么是exaclty客户端凭据？

它代表的是“技术客户端”（比如浏览器、安卓应用程序？在本例中，我只有2个客户端id和2个客户端机密？）还是像公司一样的人工客户端

3）API资源的访问权限如何？我应该按客户处理吗？按用户列出？

我希望你能帮助我理解这个复杂的协议

感谢您的帮助

请看一次