使用webapp2会话进行Google Cloud Endpoints身份验证-Java 学习之路

我的Google Cloud Endpoints API的客户端是一个JavaScript（AngularJS）Web应用程序，托管在与Endpoints API本身相同的Google App Engine应用程序上 . 我的用户使用webapp2 sessions（数据存储区）进行身份验证 . 他们不一定拥有Google帐户 . 我希望能够像 /api/users/me 那样向Endpoints API发出请求，这将返回当前登录用户的用户数据 .

首先，我认为我必须为我的App Engine应用程序实现OAuth2提供程序，然后让AngularJS应用程序从我自己的App Engine OAuth提供程序（而不是Google的OAuth提供程序）请求OAuth2访问令牌，就像内置的身份验证机制一样） .

但是，this comment建议不要实现我自己的OAuth2提供程序，而是在我的请求中（在消息字段中或在HTTP标头中）向Endpoints API提供任意参数 . 我猜这个参数应该是一个用户令牌（登录用户特有的一些加密值？） . 然后应将该值传递给浏览器 . 那不安全吗？如果可能，我不想在HTTPS上提供我的AngularJS应用程序（以节省成本） .

这是OAuth2的一个很好的用例吗？或者OAuth2仅用于授予第三方应用程序访问用户数据的权限？

如果OAuth2不是这样的话：如何将用户令牌安全地传递给浏览器并防止中间人攻击？用户令牌是否应在一定时间后过期？

1 回答

我刚刚完成了你所描述的内容 . 基本上这种方法可以解决问题：

def get_current_session(request_state):
    cookies = werkzeug.http.parse_cookie(request_state.headers.get('Cookie'))
    sess_cookie = cookies.get('mc_session')
    parts = sess_cookie.split('|')
    if len(parts) != 3:
        logging.error('Cookie does not have 3 parts')
        return False

    signature = hmac.new(COOKIE_SECRET_KEY, digestmod=hashlib.sha1)
    signature.update('|'.join(parts))
    sig_hex = signature.hexdigest()
    if compare_hashes(sig_hex, parts[2]):
        logging.error('Cookie signature mismatch!')
        return False

    cookie_data = webapp2_extras.json.b64decode(parts[0])
    return sessions_ndb.Session.get_by_sid(cookie_data['_sid'])

你可以使用以下方法从API方法中调用它：

session = get_current_session(self.request_state)

您可以在以下位置找到所有详细信息：https://blog.artooro.com/2014/08/21/share-sessions-between-google-cloud-endpoints-and-webapp2/

回复于 2024-05-03T10:30:44+08:00

使用webapp2会话进行Google Cloud Endpoints身份验证

1 回答

相关问题