java - 服务器端访问/刷新 token 中的 Oauth2

Question

我们正在尝试在我们的应用程序上实现Oauth2，在我们的应用程序中，我们使用Sign In with Google登录，这会返回很多内容，例如:UID、ACCESS_TOKEN、REFRESH_TOKEN等。我们正在考虑从应用程序向服务器端发送UID并将其存储到与用户链接的数据库中，就像它的密码。

从服务器端，我们希望在每次调用时(例如:get_products)，我们正在考虑使用 access_token，但我们不知道它是否是来自用户本身的 UID，或者我们必须使用其具有过期时间的 refres_token 创建另一个 access_token。因此，我们有一个来自用户的 UID 和另一个来自 oauth 的 access_token 和 refresh_token。

Answer 1

我不确定您通过 UID 引用的值。可能这是我以前没有遇到过的事情。

但如果它代表 USER IDENTIFIER，那么您不应该使用它来识别最终用户并维护 session 。 UID 可以是公共(public)标识符，因此任何知道的人都可以与您的服务器进行通信。另外，请考虑通过多个设备进行用户登录。您的服务器将无法识别正确的 session 。

用户access_token启动 session 。在您的服务器中，使用 user-information endpoint获取有效性详细信息和最终用户信息。或者，您可以选择 OpenID Connect。