OAuth2 - 永久访问我的帐户的安全性

Question

我想允许用户在我的网站上下载文件，但有些人需要一定数量的积分。我使用的是小型托管，因此它们存储在我的Google云端硬盘帐户中，并带有购买的额外空间。

我将access_type设置为'offline'，并且我使用刷新令牌来更新访问令牌（如果它已过期）。主要问题是，控制台显示包含令牌的请求。

我想知道，用户是否可以使用access_token获取文件访问权限，但他们没有足够的积分？隐藏请求的最佳方法是什么？

Answer 1

好吧，我想我得到了你的问题;实际上，访问令牌应该具有与之关联的权限，只允许它代表您下载特定文件，但我不认为使用Google的访问令牌可以实现粒度;所以你必须做的是在你的服务中实现你自己的系统，允许那个粒度

因此，您只能在后端服务中保留访问令牌，并让Javascript客户端调用您的后端服务以获取特定文件，然后检查您的后端服务是否允许该用户，如果允许则传入请求Google

编辑：此处描述如下：http://developers.google.com/+/web/signin/server-side-flow