【问题标题】：Is there a classical way for securing a SPA and an API using Google Cloud App Engine?是否有使用 Google Cloud App Engine 保护 SPA 和 API 的经典方法？
【发布时间】：2018-03-30 18:19:18
【问题描述】：
我想使用 Google Cloud App Engine 来提供 SPA 和 REST API，两者都在身份验证墙后面进行保护。
有什么推荐的方法吗？
到目前为止，我找到了有关如何保护 API 的教程，但没有找到 SPA。两端都来自不同的项目，但我希望有一个独特的身份验证步骤。
典型的流程是：
- 在提供 SPA 源代码之前，要求进行身份验证
- 通过身份验证后，为 SPA 提供服务并允许 SPA 访问 API 资源
谢谢！
【问题讨论】：
标签：
api
google-app-engine
authentication
google-cloud-platform
single-page-application
【解决方案1】：
到目前为止，我已经查看了文档，似乎没有任何特定的推荐方法可以在 Google Cloud 中对 SPA 进行身份验证。
但是，我认为一种非常安全的方法是使用 Google 的 Toolkit Identity API 对您的应用程序进行身份验证。该过程将从 App Engine 调用此 API 作为第一个必要要求。
此方法适用于 Oauth2 access tokens。我认为您可以在启动您的应用程序并授予对其他资源/API 的访问权限之前向您的用户请求身份验证凭据。