oauth2的password模式需要带client_id和client_secret参数，是不是得把client_secret保存在app客户端？

是的，client_id 和 client_secret 都只是证明“该客户端是可信的”一种手段。而且官方的推荐用法也是给予受信任的第二方应用使用 Password Grant 验证模式。

This is exactly the thing OAuth was created to prevent in the first place, so you should never allow third-party apps to use this grant.