从Google的NodeJs Auth Lib收到的访问令牌是否需要检查有效性？

Question

假设从google-auth-library-nodejs的方法getToken收到的OAuth 2凭据（访问和刷新令牌）是否安全？

1. 有效;
2. 对目标用户有效;
3. 对当前应用有效。

或者我应该在获取凭据后执行验证，例如使用tokeninfo网址的googleapis.com/oauth2端点？