Google Sign-Inバックエンドとクライアント間のアクセストークン

Question

ハックアップのためのクイックプロジェクトでは、私と私のチームはユーザーの登録/認証としてGoogle Sign-Inを実装しました。方法は、それが動作します。クライアント上のSDK（Androidの+のiOS）で

1. ユーザーがサインをし、要求が
2. クライアントがacces_token受信access_tokenは、クエリパラメータとしてバックエンドへの各ネットワーク要求のためにそのトークンを使用しています
3. 私たちのバックエンドはユーザーのためにGoogleサービスと対話しません

Googleが直面している問題は、Google SDKから返されたaccess_tokenが短期間（60分）です。それは基本的に2つの質問/問題につながります。

1. ショートリビングのaccess_tokenは、このように使用することさえも意味していますか？ 私は、バックエンドで認証し、独自の認証メカニズム（おそらくトークンベースのもの）を使用するために、Googleや他の認証プロバイダによって返されたトークンを使用する別のフローに慣れています。

2. 私が間違っている場合は、60分ごとに期限が切れるため、クライアント側でトークンをリフレッシュするのがよい方法です。私が理解しているところは、Google SDKがログインするためのアクティビティを開始し、コンテキストなしでデータレイヤのすべてのネットワークを処理したいと思うことです。毎回バックエンドを要求する前にそのトークンの妥当性をチェックするか、401応答を返すか、何か似たようなことをした後に何らかの爽やかさを開始するのですか？

私はそのスペースで若干新しくなっており、私たちのチームのバックエンドの男と何が正しかったかについて間違いない議論がありました。私はナンバーワンが正しいと思っています、彼はナンバー2と言います。私はここでひどく間違っているかもしれません。いくつかの素敵な入力やリソースは、オンラインのすべてのドキュメンテーションがこれらの質問の両方に答えるものではないのですばらしいでしょう。

Answer 1

Googleトークンを使用してバックエンドに新しいアクセストークンを生成し、このトークンをログイン/サインアップ時にクライアントに送信しますか？これですべてのリクエストがこのトークンを使用してユーザーを識別し、すべてを追跡します。 これも期限切れになりません。私はこれを私のアプリで使っており、完璧に動作します。