Android Google+會話

Question

我在我的應用中使用Google+身份驗證，允許用戶登錄，並可以訪問我的服務器上的“數據”。

身份驗證過程遵循以下步驟：

1. 用戶在應用上使用Google+登錄，並會收到訪問令牌。

2. 用戶將此令牌傳遞給服務器。

3. 服務器使用此令牌來驗證用戶是否是他們所說的人（遵循此處顯示的過程）。 服務器可以根據需要返回數據。

4. 這是我堅持的部分 - 如何在不向Google服務器每次請求的情況下驗證用戶是否是他們未來的請求？ 我是否將會話令牌返回到使用的客戶端應用程序，並在一段時間后重新生成令牌？

Answer 1

絕對。 發送會話cookie正是要做的事情。

Answer 2

您將需要使用ID令牌來驗證用戶是否是他們所聲稱的人。 在Github上有一個Java示例項目來演示這一點 。

此外，您應該將一次性授權代碼傳遞給您的服務器，而不是訪問令牌。 請參閱從Android應用獲取服務器端令牌的文檔。 當您擁有該代碼時，將其發送到后端，然后將該一次性代碼交換為服務器自己的訪問副本，並為該用戶刷新令牌。 由於您在后端直接從Google收到令牌，因此比在移動應用和后端之間發送更安全。