OAuth 是否始终使用 HTTP 授权标头？

【问题标题】：Does OAuth always use the HTTP Authorization header?OAuth 是否始终使用 HTTP 授权标头？
【发布时间】：2018-11-07 18:27:04
【问题描述】：

拥有一个使用 App Engine 在 GCP 中运行并受 IAP 保护的应用。据我所知，IAP 使用 OAuth，但是当我在浏览器中打开应用程序并检查传出的 XHR 请求时，我看不到其中任何一个 HTTP 授权标头。不过，cookie 中似乎确实有一个令牌，名为 GCP_IAAP_AUTH_TOKEN。只是想知道这是否仍被视为 OAuth 还是其他形式的身份验证？

【问题讨论】：

标签： oauth google-cloud-platform google-cloud-iam google-iap

【解决方案1】：

Cloud IAP 可以使用 cookie GCP_IAAP_AUTH_TOKEN 或 Authorization: Bearer。两者都源自 OAuth2。

Cloud IAP 依赖的凭据是 OpenID Connect (OIDC) 令牌。该令牌可以来自 cookie GCP_IAAP_AUTH_TOKEN 或Authorization: bearer header。

Authenticating with OpenID Connect

【讨论】：

谢谢。您是否知道我应该为身份验证指定什么范围？
这取决于你需要什么权限。要开始使用https://www.googleapis.com/auth/cloud-platform。参考：developers.google.com/identity/protocols/googlescopes
谢谢！另一个问题，您知道是否可以使用 Google API 客户端库以编程方式调用它？
这里有一些入门指南cloud.google.com/iap/docs/how-to