Question

我的Google Cloud Endpoints API客户端是一个JavaScript（AngularJS）Web应用程序，托管在与Endpoints API本身相同的Google App Engine应用程序上。我的用户使用webapp2 sessions（数据存储区）进行身份验证。他们不一定拥有Google帐户。我希望能够向/api/users/me这样的端点API发出请求，这将返回当前登录用户的用户数据。

首先我认为我必须为我的App Engine应用程序实现OAuth2提供程序，然后让AngularJS应用程序从我自己的App Engine OAuth提供程序（而不是Google的OAuth提供程序，如内置的）请求OAuth2访问令牌认证机制确实）。

但是，this comment建议不要实现我自己的OAuth2提供程序，而是在我的请求中（在消息字段中或在HTTP标头中）向Endpoints API提供任意参数。我猜这个参数应该是一个用户令牌（登录用户特有的一些加密值？）。然后应将该值传递给浏览器。那不安全吗？如果可能，我不想在HTTPS上提供我的AngularJS应用程序（以节省成本）。

这是OAuth2的一个很好的用例吗？或者OAuth2仅用于授予第三方应用程序访问用户数据的权限吗？

如果OAuth2不是这样的话：如何将用户令牌安全地传递给浏览器并防止中间人攻击？用户令牌是否应该在一段时间后过期？

Answer 1

我刚刚完成了你所描述的内容。基本上这种方法可以解决问题：

def get_current_session(request_state):
    cookies = werkzeug.http.parse_cookie(request_state.headers.get('Cookie'))
    sess_cookie = cookies.get('mc_session')
    parts = sess_cookie.split('|')
    if len(parts) != 3:
        logging.error('Cookie does not have 3 parts')
        return False

    signature = hmac.new(COOKIE_SECRET_KEY, digestmod=hashlib.sha1)
    signature.update('|'.join(parts))
    sig_hex = signature.hexdigest()
    if compare_hashes(sig_hex, parts[2]):
        logging.error('Cookie signature mismatch!')
        return False

    cookie_data = webapp2_extras.json.b64decode(parts[0])
    return sessions_ndb.Session.get_by_sid(cookie_data['_sid'])

您可以使用以下方法从API方法中调用：

session = get_current_session(self.request_state)

您可以在https://blog.artooro.com/2014/08/21/share-sessions-between-google-cloud-endpoints-and-webapp2/

找到所有详细信息

使用webapp2会话进行Google Cloud Endpoints身份验证

1 个答案: