Хранить список друзей Google+ на внутреннем сервере

Я интегрировал вход через Google+ в свое приложение для Android. Теперь я не хочу получать список друзей пользователя и хранить его на сервере. Я не могу получить список друзей в клиентском приложении и отправить его на сервер, так как данные легко подделать. Поэтому я подумал о том, чтобы сгенерировать токен доступа с помощью следующего кода и отправить его на сервер, который затем будет использоваться сервером для запроса API Google+ и получения друзей пользователя.

String accountName = Plus.AccountApi.getAccountName(mGoogleApiClient);
Account account = new Account(accountName, GoogleAuthUtil.GOOGLE_ACCOUNT_TYPE);
String scope = "oauth2:" + Constants.SCOPE_PLUS_LOGIN + " " + Constants.SCOPE_EMAIL;

try {
    String accessToken = GoogleAuthUtil.getToken(getApplicationContext(), account, scope);
} catch (IOException | GoogleAuthException e) {
    e.printStackTrace();
}

Но достаточно ли безопасно отправлять токен доступа на сервер напрямую через https? Потому что, если токен скомпрометирован, любая третья сторона может использовать его для кражи личной информации пользователя.

Или есть лучший способ получить и сохранить список друзей зарегистрированного пользователя на сервере?


android google-plus-signin google-plus
person Suyash    schedule 12.08.2015    source источник

Ответы (1)


arrow_upward
1
arrow_downward

1) Всегда передавайте access_tokens через HTTPS.

2) Не создавайте никаких способов получить access_tokens с вашего сервера. Убедитесь, что сервер поддерживает только отправку на него access_token.

3) Срок действия access_token истекает через час, поэтому окно для злоупотреблений ограничено.

person abraham    schedule 12.08.2015
comment
Что, если устройство пользователя скомпрометировано и какое-то вредоносное приложение или служба прослушивает данные, отправляемые на наш сервер? Затем он может легко получить токен доступа и злоупотребить им. - person Suyash; 12.08.2015
comment
Если их устройство скомпрометировано, не имеет значения, отправите ли вы access_token на свой сервер, они уже могут его получить. - person abraham; 12.08.2015