java - 我可以在前端使用后端的 OAuth token 吗？

Question

我刚刚浏览了 Google's DrEdit sample app 的描述在 Java 中( source code )。它展示了如何编写简单的云端硬盘应用程序并在后端处理授权。

这是一个很好的例子，但我注意到的最大缺点是，当用户想要从驱动器中选择文件时，需要重新登录(尽管之前已授权应用程序这样做)。这很不方便，所以我想避免这种情况。选择文件是使用 Google Picker API 完成的，该 API 仅在 Javascript 中可用。

因此，我想在后端和前端之间共享授权信息 - 我可以将后端的 OAuth token 传递到前端吗？如果是这样，有推荐的方法吗？

Answer 1

是的，完全没问题。正如 @tydotg 所描述的那样，在客户端进行窥探实际上并不是一个问题，因为访问 token 同样是可窥探的，无论它是在客户端还是在服务器上生成的。

唯一真正的挑战是确保您只将 token 下载给经过正确身份验证的用户。您可以使用多种方案来执行此操作，例如:-

1. 用户使用基于服务器的 OAuth 对您的应用进行身份验证。
2. 服务器将用户 ID 或电子邮件存储在 session 变量中
3. 当您的客户端请求 token 时，您可以使用 session 用户生成 token