google-api - 在数据库中存储谷歌刷新 token ？

Question

我正在构建一个提供使用 google 登录选项的网络应用程序。最初，我们向用户(离线访问)询问 profile 和 email 范围。作为返回，我们得到一个代码。

使用此代码，我请求一个 refresh_token，然后请求一个 access_token。这两个 token 都存储在客户端的 cookie 中(您可能会说在客户端存储 refresh_token 是个坏主意)。

在我的应用程序中，我为用户提供了访问他的驱动器文件的权限。为此，我使用增量范围。所以我向用户请求驱动许可。作为返回，我得到一个 code -> new refresh_token -> new access_token。

但问题是:

当用户清除 cookie 或注销时。然后，当他登录时，会生成新的 refresh_token 和 access_token，其中仅包括 profile 和 email 的范围。所以我不得不再次询问用户他的驱动器权限。我不想在用户已经授予他们驱动权限后每次都询问他的驱动权限。

可能的解决方案:

在服务器端存储 refresh_token？？这是正确的方法吗？？

Answer 1

这是 Google 推荐的方法:

The application should store the refresh token for future use and use the access token to access a Google API. Once the access token expires, the application uses the refresh token to obtain a new one.

来自这里:https://developers.google.com/identity/protocols/oauth2