Это безопасный способ обработки доступа в Google App Engine?

Question

Я хочу дать нескольким людям доступ к моему приложению Google. Я могу предположить, что они используют gmail, так это безопасная процедура?

Я добавляю их gmail в базу данных. Затем я извлекаю их электронную почту вот так и проверяю, присутствует ли она в базе данных:

UserService userService = UserServiceFactory.getUserService();
User user = userService.getCurrentUser();
String email = user.getEmail();
//check if email is in database

Конечно, я обрабатываю случай, когда они не вошли в систему, и я понимаю, что мое приложение может быть уязвимо в других частях моего кода. Но безопасна ли эта часть?

Приветствия

Answer 1

Используйте user.getUserId () вместо getEmail (). Пользователи могут изменять свои адреса электронной почты, но идентификаторы пользователей остаются прежними.

Answer 2

Да, это нормально - вы можете доверять адресу электронной почты, возвращенному UserService, чтобы быть точным - только владелец этой учетной записи может аутентифицировать и вернуть это значение. Как говорит Фабрицио, если вы можете, вы должны хранить идентификатор пользователя вместо электронной почты, чтобы вы были против того, чтобы ваши пользователи меняли свой адрес электронной почты.