在第三方服务器上验证Android的authToken

Question

我正在编写一个Android应用程序，它使用AccountManager来获取令牌。 从Android应用程序我可以与谷歌Picasa进行交互 - 它工作正常。

我想要实现的目的是：将一些text + authToken发送到我的第三方服务器，然后在保存文本之前检查令牌是否正确。 现在的问题是：是否有可能确定特定令牌的authToken是否仅在令牌本身（可能是电子邮件地址）上是正确的。

我已经编写了服务器部分，它接受令牌（从android应用程序发送），然后向URL地址发出请求：

https://accounts.google.com/o/oauth2/tokeninfo?access_token=%token_here%

我得到的是以下JSON：

{
  "error" : "invalid_token"
}

但是这里的链接http://oauthssodemo.appspot.com/step/4表明，如果令牌是正确的，我应该收到不同的JSON响应。 你能告诉我我做错了什么：我相信检查令牌有效性的方法真的不是那么简单，但我宁愿实现整个openid或其他东西。 即使是这种情况，如何检查Android应用程序发送的令牌是否正确，这样我就可以保存消息的“文本”部分。

谢谢。

Answer 1

停止使用AccountManager并开始使用Google Play服务的GoogleAuthUtil类，然后变得简单。 请参阅http://android-developers.blogspot.ca/2013/01/verifying-back-end-calls-from-android.html

Answer 2

解决方案如下。 您可以通过此网址验证令牌：

https://accounts.google.com/o/oauth2/tokeninfo?access_token=%token_here%

但在我的情况下，我试图验证“授权代码”而不是“访问令牌”，如下所示： https ： //code.google.com/oauthplayground/

如果您使用的是Android和OAuth，请不要使用

lh2 

而是使用以下作为服务名称：

http://picasaweb.google.com/data/

所以你应该按如下方式调用getAuthToken

getAuthToken(account, "http://picasaweb.google.com/data/" , true, null, null);

然后，您可以在上面发布的URI上验证从此调用接收的令牌。

Answer 3

阅读此https://developers.google.com/accounts/docs/OAuth2WebServer

在Web服务器接收到授权代码之后，它可以交换访问令牌和刷新令牌的授权代码。 此请求是HTTPs帖子，包括以下参数：

Answer 4

我遇到了护照 - 谷歌令牌护照策略，完美地执行任务。

https://www.npmjs.com/package/passport-google-token

更多细节存在于上述链接中。

Answer 5

基于此答案中的信息： 在node.js服务器中验证Google授权的OAuth令牌的正确方法是什么？ ，

您可以尝试在网址中使用id_token而不是access_token来调用Google的tokeninfo端点。