不需要谷歌登錄做Android端點驗證？

Question

所以我在玩谷歌登錄和端點驗證。把一切都想通了，可以做的權威性只要找到使用

credential = GoogleAccountCredential.usingAudience(context, "server:client_id:fakewhateverstring.apps.googleusercontent.com"); 
    credential.setSelectedAccountName("whatever@gmail.com"); 

我注意到的事情是，我不需要谷歌標誌在所有。我試着評論所有的谷歌登錄代碼，並把我的電子郵件是用於模擬器上的帳戶。它的工作。對我來說似乎很不安全。有沒有更好的方法來做到這一點，需要谷歌登錄，而不是一些電子郵件地址已經在電話賬戶上？

Answer 1

它的工作方式是這樣的：當用戶使用谷歌帳戶登錄到客戶端時，API方法中的User對象將被注入到後端的API方法中。然後您有責任檢查User對象是否爲空，並引發未經授權的異常。

從我的測試中我發現，如果用戶已經使用他們的Google帳戶登錄到Android設備上，並且按照您對特定電子郵件所做的方式設置了電子郵件，則後端確實會注入User對象 - 畢竟，客戶端已登錄。

但是，如果您只是傳入未登錄的電子郵件，則不會注入用戶對象。

玩這個，你會得到它的感覺，看看它是如何確實是安全的。