OpenID connect - нужно ли проверять токен в google при любом запросе, который пользователь отправляет на мой сервер?

Question

Я запросил токен доступа в Google и хотел бы внедрить промежуточное программное обеспечение Express, которое проверяет токен по любому запросу пользователя на мой сервер. Должен ли мой сервер проверять токен в Google каждый раз, когда пользователь отправляет запрос на мой сервер? Или как мне проверить токен?

Спасибо

Answer 1

Проверка токена стандартизирована с помощью OAuth 2.0 Token Introspection RFC .В нем говорится:

Ответ (самоанализ) может кэшироваться защищенным ресурсом для повышения производительности и снижения нагрузки на конечную точку самоанализа, но за счет живучести информации, используемой защищенным ресурсом дляпринимать решения об авторизации.См. Раздел 4 (RFC) для получения дополнительной информации о компромиссе при кэшировании ответа.

Так что, если это не в условиях использования Google, у вас нетпроверять это по каждому запросу.Фактически, токен может быть отозван между проверкой и окончанием вашего запроса.Поэтому, если вы используете кэш с разумным (довольно коротким) сроком службы, это может улучшить производительность с небольшим риском принятия уже отозванного токена.

Answer 2

У Google есть хорошая статья, касающаяся аутентификации с бэкэндом . Я приветствую вас, чтобы пройти через это и понять его предложения.

Согласно этому документу Google предоставляет клиентские библиотеки для проверки идентификационного токена. Также есть возможность использовать tokeninfo конечную точку.

После проверки вы можете создать кеш или сохранить проверенные данные для дальнейшего использования. Но это зависит от точного требования.

Если вы можете поддерживать контекст для каждого проверенного токена, то вы можете создать сеанс поверх проверки токена. Эта сессия должна иметь действительность, связанную с действительностью токена. Но если такой сеанс невозможен, вам потребуется проверка токена для каждого запроса (действительно дорогостоящего, но необходимого в зависимости от условий использования).

Если вы ведете сеанс, вы можете создать конечную точку для прослушивания событий безопасности Google, которая позволяет удалять постоянные данные на основе угроз безопасности. Это подчеркивается в аутентификации со статьей бэкэнда и может быть доступно по этой ссылке