OAuth2 和 OpenID Connect - 移动应用和后端服务器访问和刷新令牌使用

Question

因此，我正在尝试在我的本机移动应用程序中使用 Google 登录和使用 Apple 登录，该应用程序还与我自己的后端服务器进行通信。我想我掌握了 OAuth2 流程和 OpenID Connect 背后的 ID 令牌概念。我唯一的疑问是我是否可以/应该使用访问/刷新令牌对来授权访问我自己的端点？在苹果的文档中，这并没有明确说明，在谷歌的网站上，他们提到你可以用它来访问谷歌 API，但我没有发现你可以将它用于你自己的后端服务器。如果不是，应该如何处理（在验证授权服务器的 ID 令牌后生成我自己的访问/刷新令牌对？）请注意，我只需要通过这些平台对我的用户进行身份验证，我不想访问其他 Google API（目前）。TL;DR：我可以使用 Apple/Google 的访问/刷新令牌对来授权访问我自己的后端端点，还是应该生成我自己的/做其他事情？

Answer 1

您可以使用提供给您的令牌，但通常您迟早会想要自定义它们包含的内容，然后引入您自己的本地提供商可能是一种解决方案。因此，您的内部服务信任来自您自己服务的令牌，而您的身份验证服务器信任来自 Apple/Google 的令牌。

第二个问题是您的内部系统可能需要信任多个令牌发行者。根据我的经验，内部只信任一个令牌服务而不是多个令牌服务，即使这不是硬性要求。