Могу ли я использовать токен ОАУТ из Backend в моей интерфейсе?

Question

Я только что прошел описание Приложение Dredit Google Dredit в Java ( Исходный код ).Он показывает, как написать простое приложение привода и обрабатывать авторизацию на бэкэнде.

Это хороший пример, но самый большой недостаток, который я заметил, это тот факт, что пользователь должен войти в систему снова, когда он хочет выбрать файл с его диска (несмотря на то, что ранее разрешил приложение для этого).Это неудобно, поэтому я хотел бы избежать этого.Выбор файла выполнен с помощью API Google Picker, который доступен только в JavaScript.

Следовательно, я хотел бы поделиться информацией о авторизации между моей бэкэнда и Frontend - могу ли я просто передать токену ОАУТ, который у меня есть в бэкэнде к Frontend?Если это так, есть ли рекомендуемый способ сделать это?

Answer 1

Да, это прекрасно в порядке.Snooping на клиенте, как описано @tydotg, не на самом деле не является проблемой, поскольку токен доступа так же настолько настолько настолько, независимо от того, был ли он сгенерирован на клиенте или на сервере.

Единственная реальная задача - это убедиться, что вы загружаете только токен для правильно аутентифицированного пользователя.Есть несколько схем, которые вы могли бы использовать для этого, но например: -

1. Пользователь аутентифицируется в ваше приложение, используя сервер на основе OAuth.
2. Сервер хранит идентификатор пользователя или адрес электронной почты в переменную сеанса
3. Когда ваш клиент запрашивает токен, вы используете пользователь сеанса для создания токена

Answer 2

Используйте перекрестный идентификатор для достижения этого:

https://developers.google.com/accounts/docs/crossclientauth .

Answer 3

Я уверен, что вы можете (я не слишком знаком с Java, но в рельсах, например, было бы легко), однако причина, по которой вы не захотете это делать, это из-за безопасности.

.

Что-нибудь на стороне сервера довольно безопасна и недоступна для клиента.Однако на стороне клиента, это справедливая игра.Я мог бы осмотреть элемент, и если бы я знал, что я искал, я мог бы схватить токен ОАУТ.