如何在Web API 2中基于承载令牌正确验证用户身份

Question

我的Android移动应用程序有一个Web API 2后端。我想使用OAuth身份验证（在这种情况下是Google登录），因此我在移动应用上登录，从Google获得了有效的访问令牌，并在每个Web API后端请求中将其包含在授权标头中：

Authorization: Bearer [token value]

这是我的Web API ConfigureAuth方法：

app.UseCookieAuthentication(new CookieAuthenticationOptions());
app.UseExternalSignInCookie(DefaultAuthenticationTypes.ExternalCookie);
app.UseOAuthBearerTokens(OAuthOptions);
app.UseGoogleAuthentication();

据我所知，app.UseGoogleAuthentication（）+ OWIN应该可以解决这个问题：从传入请求中提取访问令牌并使用它来验证用户身份，对不对？但它并没有发生，传入的请求被拒绝为未经授权。那么这个简单的场景怎么可能实现呢？

我已经阅读了很多关于该主题的文章，但每次只讨论使用浏览器作为客户端的情况 - 这不是我的情况，我没有使用外部cookie。