java - AccountManager 帐户选择器 Intent

Question

我想使用他的 Google 帐户对我应用的用户进行身份验证，因为这是在多个设备上对用户进行身份验证的最简单方法。

我的问题是，如果我使用 AccountPicker.newChooseAccountIntent Intent 并且用户选择一个帐户，我将在 onActivityResult 中得到它的电子邮件地址，这是否已经存在由 Android 以某种方式验证，确保用户必须输入正确的帐户密码？

由此我想问一下，是否有可能获得用户无权使用的电子邮件地址。我是否需要进一步检查电子邮件地址以验证它属于用户？

我的应用是关于用户的短信的，所以我不想让黑客通过选择他们没有密码的帐户来访问这些信息。

Answer 1

My question is, if I use AccountPicker.newChooseAccountIntent intent and the user selects one account and I'll get it's email address as result in onActivityResult, is this already verified by Android in a way, that makes sure that the user has had to input the correct password for the account?

是的，当然这意味着该帐户已经设置，即用户在某个时候输入了正确的用户名和密码。

By this I want to ask, if it's possible to get an email address that the user has no rights for. Do I need to do some further checking for the email address to verify, that it belongs to the user?

不，该电子邮件地址已在该设备上设置(通过输入正确的密码)，您无需进一步验证。用户是否仍然可以登录该帐户(如果密码已更改)，这是未知的。

My app is about the user's text messages, so I don't want to allow hackers to access these by selecting an account that they don't have a password for.

如果有人设法侵入您用户的 Google 帐户，那是另外一回事，您无法保护您的用户免受此类攻击，他们应该通过使用安全密码等来保护自己。如果您的用户丢失了他/她的手机，或者它被盗了，他/她可能会更改他们的谷歌密码，但该帐户将保留在他们丢失/被盗的手机上设置；新用户将无法登录 GMail，但可以访问您的应用。

I want to authenticate my app's user with his Google account because this is the simplest method to authenticate the user on multiple devices.

我不会说这是最简单的方法。首先，Android 用户可能没有 Google 帐户，他也没有义务拥有一个。其次，您的应用程序似乎可以访问互联网，以便拥有集中的用户数据库。您确定您的网络应用程序足够安全，以至于黑客不会仅使用 Google 帐户的用户名对其进行身份验证吗？如果您想为用户提供服务的网络界面，那么，当然，只有 Google 用户名是不够的。

这是您问题的正确答案，但我不太确定它是否能解决您的问题。

顺便说一句，问题中提到的所有内容，在此答案中都不称为身份验证。你没有做任何事情，你宁愿试图避免它。