如何确保从第三方

Question

我有我的手机应用程序使用，当用户在Facebook或谷歌的图标点击来验证REST服务登录REST服务。

服务接受来自供应商的用户的ID并检查它是否存在于数据库中，然后发出用于其他方法的access_token。

的问题是，我只是觉得，这可能是很容易有人拦截来电，并发现哪些服务认证和什么样的用户ID，然后与调用它来获取令牌。

我该如何避免这种情况？

Answer 1

我想你只需要分开认证和授权功能。您可以让Google（Google Sign-In）处理身份验证。如果按照API，他们将安全认证用户，并寄给您，您可以验证令牌。

一旦你知道他们是谁，你的网站可以安全地授权该用户approriately。例如，他们可能是现有的用户，需要创建一个帐户，成为管理员。您可以根据Google验证的用户（在我的示例中），在您的网站上制作授权。

Twitter，Facebook和别人不一样。另见OpenID Connect。