这是在Google App Engine中处理访问权限的安全方法吗？

Question

我想让一些人访问我的Google应用。 我可以假设他们使用的是gmail，这是否安全？

我将他们的gmail添加到数据库中。 然后，我像这样提取他们的电子邮件，并检查数据库中是否存在该电子邮件：

UserService userService = UserServiceFactory.getUserService();
User user = userService.getCurrentUser();
String email = user.getEmail();
//check if email is in database

当然，我会处理未登录的情况，并且我了解我的应用可能会在代码的其他部分受到攻击。 但是这部分安全吗？

干杯，

Answer 1

使用user.getUserId（）代替getEmail（）。 用户可以更改其电子邮件地址，但UserID保持不变。

Answer 2

是的，这很好-您可以相信UserService返回的电子邮件地址是准确的-只有该帐户的所有者可以验证并返回该值。 如Fabrizio所说，如果可以的话，您应该存储用户ID而不是电子邮件，这样就可以防止用户更改其电子邮件地址。