保護Google Cloud端點免受未經授權的用戶的侵害

Question

我設法使用clientid來實現auth功能described by google。

因此，當訪問html頁面時，會要求使用Google帳戶進行身份驗證。

問題：現在，每個人都可以使用該網站，只要他/她有一個Google帳戶進行身份驗證即可。我如何限制使用某個用戶羣？我是否需要管理由User對象提供的唯一用戶ID列表？還是有一些預先建立的東西，我可以利用？

Answer 1

我認爲最安全的是保留一個ID列表。您期望谷歌或其他人知道您希望允許哪種用戶的基礎是什麼？

即使其唯一的地理位置有時候人們可能會使用代理服務器或從遠程位置使用yor站點。

您鏈接的網站也說了這麼多：

API中的指定授權客戶端後臺

您必須指定允許客戶端通過白名單的方式來訪問API後端 客戶端ID。客戶端ID由 Google API控制檯根據客戶端密鑰生成，例如用於保護Android應用的密鑰的SHA1指紋 或用於iOS應用的Bundle ID/Apple 商店ID對，如所述創建OAuth 2.0 客戶端ID。在運行時，如果客戶端應用程序的客戶端 密鑰與包含在API後端的 客戶端ID白名單中的客戶端ID匹配，則會授予客戶端應用程序向其授權的 令牌發送請求至API後端。

此外，它的唯一通用身份驗證（是誰），授權（他們可以在您的網站上執行的操作）來自您。