python - 有没有办法保护谷歌云端点原型(prototype)数据存储？

Question

我的设置:

1. Python、使用 endpoints_proto_datastore 的谷歌应用引擎
2. iOS，端点 Obj-C 客户端库生成器

背景

我已经设置了一个测试谷歌云端点 api 并让它运行得非常快。它运行良好，在 iOS 模拟器中使用测试应用程序，并使用 Google 的 APIs Explorer。该 API 目前对所有人开放，无需身份验证。

我想:设置应用程序可以使用的 API key 或系统凭据，以确保它可以单独访问 api - 拒绝所有其他人。

Google Endpoints Auth 文档中的方法 (1) 是使用 Google Developers Console (2) 创建 OAuth 2.0 客户端 ID。因此，我为类型为 iOS 的已安装应用程序创建了一个 ID。到目前为止一切顺利。

在应用程序中，GTLService 对象如下所示...

-(GTLServiceDemogaeapi *)myApiService {
    GTMOAuth2Authentication *auth = [[GTMOAuth2Authentication alloc] init];
    auth.clientID = @"10???????????????????ie.apps.googleusercontent.com";
    auth.clientSecret = @"z????????????3";
    auth.scope = @"https://www.googleapis.com/auth/userinfo.email";

    static GTLServiceDemogaeapi *service = nil;
    if (!service) {
        service = [[GTLServiceDemogaeapi alloc] init];
        service.authorizer = auth;
        service.retryEnabled = YES;
        [GTMHTTPFetcher setLoggingEnabled:YES];
    }
    return service;
 }

在 GAE 上，我指定了 (allowed_client_ids 并向方法中添加了用户检查...

@endpoints.api(name='demogaeapi', version='v1',
               allowed_client_ids=['10?????????????ie.apps.googleusercontent.com',
               endpoints.API_EXPLORER_CLIENT_ID],
               scopes=[endpoints.EMAIL_SCOPE],
               description='My Demo API')
class MyApi(remote.Service):

    @TestModel.method(path='testmodel/{id}', name='testmodel.insert', http_method='POST')
    def testModelInsert(self, test_model):

        current_user = endpoints.get_current_user()
        if current_user is None:
            raise endpoints.UnauthorizedException('Invalid token.')

问题

current_user 始终是 None 因此该方法将始终引发异常。这似乎是一个已知问题问题 8848:Google Cloud Enpoints get_current_user API doesn't fill user_id (3) 没有希望很快得到修复。

选项？

1. 等到 google 修复问题 8848。真的不行，我们有产品要发布!

编辑:2015 年 5 月 15 日 - Google 发布了 Issue 8848 status WontFix。

1. 我看到可以使用 API key ，但虽然我已经能够创建一个 - 但我还没有找到在后端启用它的方法。我还注意到这种方法有一个很大的漏洞，Google 的 APIs Explorer 可以解决这个问题请参阅 SO 问题 (4)。

2. @endpoints.api 参数:auth_level，此处描述 (5)，是否提供了答案？我尝试使用:

   @endpoints.api(name='demogaeapi', version='v1',
          auth_level=endpoints.AUTH_LEVEL.REQUIRED,
          scopes=[endpoints.EMAIL_SCOPE],
          description='My Demo API')
   

   但是能够在不使用凭据的情况下从客户端应用程序使用 api。所以它显然没有添加任何身份验证。

3. 将 hiddenProperty 添加到持有共享 key 的客户端查询。如 bossylobster 此处 (6) 和 Carlos 此处 (7) 所述。我试过了，但看不到如何获取原始 request 对象(另一个问题 How to get at the request object when using endpoints_proto_datastore.ndb? 的主题)。

   @TestModel.method(path='testmodel/{id}', name='testmodel.insert', http_method='POST')
   def testModelInsert(self, test_model):
   
       mykey,keytype = request.get_unrecognized_field_info('hiddenProperty')
       if mykey != 'my_supersecret_key':
           raise endpoints.UnauthorizedException('No, you dont!')
   

编辑:另一个选项浮出水面:

1. 使用 Google Developers Console 创建服务帐户 (2)。使用此帐户无需用户同意(通过 UI)即可访问 API。但是，Google 似乎将可以通过这种方式添加的应用程序数量限制为 15 或 20 个。请参阅 Google OAuth2 文档 (8)。我们可能会超出限制。

问题

有谁知道如何让这些选项起作用？或者我应该以不同的方式处理这个问题吗？

如您所见，我需要指导、帮助、想法...

---

因为我需要 10 个声誉才能发布超过 2 个链接:这里是我必须提取并添加为引用的链接。有点破坏了问题的流程。

1. cloud.google.com/appengine/docs/python/endpoints/auth
2. console.developers.google.com/
3. code.google.com/p/googleappengine/issues/detail?id=8848
4. stackoverflow.com/a/26133926/4102061
5. cloud.google.com/appengine/docs/python/endpoints/create_api
6. stackoverflow.com/a/16803274/4102061
7. stackoverflow.com/a/26133926/4102061
8. developers.google.com/accounts/docs/OAuth2

Answer 1

一个很好的问题和一个真正的问题。我通过拥有自己的“用户”数据库表解决了这个问题。 Long 键(我使用 Java)是在写入时自动生成的，这是我从那时起用来唯一标识用户的值。写入该表的还有 Google ID(如果通过网页调用则提供)、电子邮件地址和 iOS id(在未登录 Google 帐户的情况下使用 iOS 应用程序时)。

当我的 AppEngine 端点被调用时，我使用 存在于 User 参数中的信息(只是登录客户端的经过身份验证的电子邮件地址)或一个单独的，可选的 iosid 参数，以便从所述表中获取我的内部用户 ID 号，并从那时起使用它来唯一标识我的用户。

我也使用同一个表来存储其他特定于用户的信息，所以这与尝试使用 current_user 作为主键没有什么不同，只是我必须创建三个字段(googleid、电子邮件、iosid)索引以供查找。