使用webapp2会话进行Google云endpoint身份验证

Question

这是一个很好的OAuth2用例吗？还是OAuth2仅用于授予第三方应用程序对用户数据的访问权限？

如果OAuth2不是可行的方法：如何将用户令牌安全地传递给浏览器，并防止中间人攻击？用户令牌应该在一定时间后过期吗？

Answer 1

我刚刚实现了您所描述的内容。基本上,这种方法起到了一定的作用：

def get_current_session(request_state):
    cookies = werkzeug.http.parse_cookie(request_state.headers.get('Cookie'))
    sess_cookie = cookies.get('mc_session')
    parts = sess_cookie.split('|')
    if len(parts) != 3:
        logging.error('Cookie does not have 3 parts')
        return False

    signature = hmac.new(COOKIE_SECRET_KEY, digestmod=hashlib.sha1)
    signature.update('|'.join(parts))
    sig_hex = signature.hexdigest()
    if compare_hashes(sig_hex, parts[2]):
        logging.error('Cookie signature mismatch!')
        return False

    cookie_data = webapp2_extras.json.b64decode(parts[0])
    return sessions_ndb.Session.get_by_sid(cookie_data['_sid'])

您可以使用以下方法从API方法中调用它：

session = get_current_session(self.request_state)

您可以在https://blog.artooro.com/2014/08/21/share-sessions-between-google-cloud-endpoints-and-webapp2/上找到所有详细信息