如何安全地将 Google OAuth 生成的访问令牌传递给 NodeJS REST API？答案

【问题标题】：How can i safely pass access token generated from Google OAuth to a NodeJS REST API?如何安全地将 Google OAuth 生成的访问令牌传递给 NodeJS REST API？
【发布时间】：2017-10-07 15:41:23
【问题描述】：

我正在创建两个应用程序： 1. gmail的Chrome扩展。 2. IOS版本

现在，由于这两个应用程序具有相同的行为并广泛使用相同的谷歌 API，我决定在谷歌云平台上为两者创建一个项目。现在，在创建凭据时，我的应用程序类型是什么？我在应用程序类型下同时看到了“IOS”和“Chrome 应用程序”。我应该为 chrome 应用和 ios 应用生成两个客户端 ID 吗？

要使用单个客户端 ID，我还尝试创建一个 Node REST API（创建一个新项目并将应用程序类型设置为谷歌云平台中的“web 应用程序”），供双方使用我的应用程序向 google apis 提出请求？但授权过程包括，设置回调 url 以获取授权码，然后使用此代码获取访问令牌。我想这对于 REST API 是不可行的。我应该在哪里保留授权部分？在应用程序本身中，然后将访问令牌发送到我的 rest api？有可能吗？

我很困惑我应该如何开始。请问有人可以提出更好的方法吗？

【问题讨论】：

尚未尝试过您的用例，但请阅读OAuth dance in Chrome Extension 和这篇关于Is it possible to develop Google Chrome extensions using node.js? 的SO 帖子。

标签： node.js rest google-chrome-extension google-cloud-platform google-oauth

【解决方案1】：

我生成了两个客户端 ID，一个用于 ios 和一个用于 Web。隔离这两个应用程序是一个很好的开始方式。这两个应用程序都会生成自己的令牌 ID，将 ID 传递给 Node Rest API，然后使用该令牌向 Google API 发出请求。

【讨论】：