oauth-2.0 - 换码成功后谷歌返回给我的id token应该如何使用？

Question

我不清楚在初始验证后我应该如何处理来自 Google 的 ID token 。

我在 expo/react native 上开发并在本地获取 id token 。然后，我将它发送到我的服务器并使用谷歌客户端库对其进行验证。验证后我应该如何处理它？<​​/p>

理想情况下，我可以用它来保护我的 api 路由 (express)，但 id token 会在 1 小时后过期，我不确定如何使用客户端库刷新它们。所以，我不知道该怎么做。

这是 id token 的预期用途吗？我应该改为签署自己的 jwt 并将其发回给客户吗？然后，客户端可以在每个请求的 auth header 中将其发送到 protected 路由。

谷歌说:

After you have verified the token, check if the user is already in your user database. If so, establish an authenticated session for the user. If the user isn't yet in your user database, create a new user record from the information in the ID token payload, and establish a session for the user. You can prompt the user for any additional profile information you require when you detect a newly created user in your app.

https://developers.google.com/identity/sign-in/ios/backend-auth

我是否使用 id token “为用户建立 session ”？

Answer 1

是的，ID-token 仅用于创建本地 session ，如果使用的话，也许还会在本地数据库中创建一个本地条目。

ID token 的生命周期也很短，在某些系统中只有 5 分钟。所以不能长期使用。