angularjs – 在前端OAuth成功验证后如何与后端进行交互？

>认证：像谷歌这样的识别提供商只是一个部分解决方案.因为您不想提示用户登录/确认每个API请求的身份,所以您必须自己为后续请求实施身份验证.您必须存储,可访问后端：

>用户ID. (取自身份提供者,例如：电子邮件)
>用户令牌. (您生成的临时令牌,可以从API代码进行验证)

>授权：您的后端必须根据用户ID(这是您自己的业务)实现规则.
>运输安全：HTTPS和过期Cookie是安全的,不能被其他人重放. (HTTPS正在加密流量,从而击败中间人的攻击,并且到期cookies将在以后的时间内重播)

所以你的API /后端有一个电子邮件查询表到随机字符串.现在,您不必公开用户的ID.令牌是无意义和暂时的.

在这个系统中,流程如何工作：

User-Agent    IdentityProvider (Google/Twitter)   Front-End    Back-End
 |-----------------"https://your.app.com"---------->|
                                                    |---cookies-->|
                                 your backend knows the user or not.
                                       if backend recognizes cookie,user is authenticated and can use your API

其他：

if the user is unknown:
                                                    |<--"unknown"-|
                     |<----"your/login.js"----------+
                "Do you Authorize this app?"
 |<------------------+
 |--------"yes"----->|
                     +----------auth token--------->|
                     |<---------/your/moreinfo.js---|
                     |-------access_token ---------->|
                1. verify access token
                2. save new user info,or update existing user
                3. generate expiring,random string as your own API token
                                                    +----------->|
 |<-------------- set cookie: your API token --------------------|

现在,用户可以直接使用您的API：

|--------------- some API request,with cookie ---------------->|
 |<-------------- some reply,depends on your logic,rules ------|

编辑

基于讨论 – 补充说,后端可以通过验证身份提供者的访问令牌来验证用户：

例如,Google exposes this endpoint检查令牌XYZ123：

https://www.googleapis.com/oauth2/v3/tokeninfo?id_token=XYZ123