Google API：使用 oauth 用户 ID 进行身份验证

Question

谷歌用户在我的网站上进行身份验证后，使用谷歌 JS API，我得到用户的电子邮件、姓名、用户 ID 等。 我正在寻找一种方法将用户存储在我的服务器端并在他下次回来时识别他/她。

我找到的解决方案是：“用户 ID 是您唯一需要存储在数据库中以使用您的 Web 框架对用户进行身份验证的东西”。

但我注意到，google 用户 id 永远不会改变，此外，您可以在 google plus 上看到每个用户 id。这意味着，我的网站用户很容易被冒充。我应该使用什么来针对服务器端对我的 google oauth 用户进行身份验证？

Answer 1

1. 获取用户access_token并将其发送到服务器。
2. 让服务器向tokeninfo 端点发出请求。
3. 存储 user_id 响应以将用户与未来的请求相关联。

access_token 是只有当前经过身份验证的用户知道的秘密，只要它有效，您就可以假定来自 Google 的 API 响应属于该用户。