服务器端访问/刷新令牌中的 Oauth2

Question

我们正在尝试在我们的应用程序上实现Oauth2，在我们的应用程序中，我们使用Sign In with Google 登录，这会返回很多内容，例如：UID、ACCESS_TOKEN、REFRESH_TOKEN 等。我们正在考虑将UID从APP发送到服务器端并将其存储到与用户链接的数据库中，就像它的密码一样。

从服务器端，我们希望在每次调用时例如：get_products，我们正在考虑使用access_token，但我们不知道它是来自用户本身的UID，还是我们必须创建另一个access_token其refres_token 带有到期时间。所以我们有一个来自用户的UID 和另一个来自oauth 的access_token 和refresh_token。

Answer 1

我不确定您提到的 UID 的值。可能是我以前没有遇到过的东西。

但如果它代表 USER IDENTIFIER，那么您不应该使用它来识别最终用户并维护会话。 UID 可以是公共标识符，因此任何知道的人都可以与您的服务器通信。另外，考虑用户通过多个设备登录。您的服务器将无法识别正确的会话。

用户access_token 发起会话。在您的服务器中，使用user-information endpoint 获取有效性详细信息和最终用户信息。或者，您可以选择 OpenID Connect。