如何允许移动应用程序通过 Facebook 和 Google

Question

这与我关于需要创建 Facebook 应用程序的另一个问题有关。

我已经阅读了很多关于如何为访问我在 Google App Engine 上运行的 Web 服务的移动应用程序用户（iOS 和 Android）最好的登录方法。我仍然不清楚如何最好地做到这一点，因为我想同时提供 Google 和 Facebook 登录。该应用程序和网络服务对 Facebook 或 Google 没有任何作用，只是我想搭载他们的登录信息。

只需使用 Google 登录 GAE 就非常容易，使用 OpenIDConnect 也是如此。不幸的是，Facebook 不支持这一点。

在 SO上阅读一个旧问题，其中有人想做与我相同的事情，看起来该应用程序应该登录 Facebook，然后获取一个令牌，该令牌将传递给我的后端，该令牌需要通过联系 Facebook 进行验证。这是今天的做法吗？

我还找到了 Google Identity Toolkit，这似乎正是我所需要的。但是，我没有网站或只有应用程序。我需要让应用程序进行 Facebook 登录，并以某种方式为我的网络服务提供一些东西，以便它可以验证登录信息。

稍后，应用程序用户应该能够使用随机 Facebook、Google 和我的自定义用户名/密码登录。应用程序和 Web 服务应该知道用户已登录并授权其访问 REST API。

我该如何实现？顺便说一句，我在 GAE 上使用 Go。

如果有人可以解释是否有多种选择来执行此操作，利弊，并提供最佳方法和需要做什么的概述，我将非常感激。

非常感谢您对此的任何帮助！

更新

好的，非常感谢大家的帮助和指点。我已经成功地为我的 GAE 后端运行了适用于 iOS的快速入门示例应用程序。基本上，在 GAE 上的 Web 服务上创建了一个 Facebook 应用程序和权限凭据，以便示例 iOS 应用程序可以登录。

在我在数据存储中拥有经过身份验证的用户并可以授权连续的 API 调用之前，还有一点差距。

此时的主要开放问题：

1. 成功登录Facebook或Google后如何在iOS应用程序中获取gtoken？

2. 我应该在我的 Web 服务上显式调用 API 以传递 gtoken 还是在启用 Gitkit API 的情况下以某种方式自动执行？

谢谢你的帮助！

更新

要自己回答 #1 和 #2，可以在应用程序引擎配置中提供一个“成功登录 url”，以便应用程序知道使用 gtoken 调用的位置。然后之后就像在答案中解释的那样。

Answer 1

看起来您在 GAE 上有一个应用程序和一个后端。如果您使用的是 google 身份工具包，它将允许您使用 Facebook、Google 和电子邮件/密码登录。当用户使用身份工具包成功登录到您的应用程序时，您的服务器应该会收到一个 gtoken。您在这里有两个选择：将 gtoken 传递给您的应用程序并将其保存在那里。当您的应用程序向后端发出 API 调用时，您的应用程序应将 gtoken 附加到每个请求。您的后端应验证每个需要授权的 API的 gtoken( https://developers.google.com/identity/toolkit/web/required-endpoints )。验证 gtoken，生成一个您的后端可以识别/识别用户的令牌。然后将令牌传递给您的应用程序，其他一切都与选项 1 相同。如果您不想使用身份工具包，您可以在您的应用程序/后端实现 facebook 登录，并使用 facebook 令牌在您的应用程序和后端之间进行通信。无论您的决定是什么，使用您的 API 的应用程序都应该向您传递一些您的后端可以识别/授权用户的信息。

Answer 2

答案是关于使用 Google Identity Toolkit (GIT)。GIT 本身是一个身份提供者，它将与您的应用程序和后端集成。流程沿着以下路线工作：您的应用程序通过其 GIT API 请求登录GIT 将执行与 Facebook 或其他 3rd 方提供商的联合登录（对您的应用程序透明）并向应用程序返回GIT令牌（从您的端到端系统角度代表唯一用户，即应用程序加后端）应用程序向后端发出请求，并在其中传递 GIT 令牌后端验证 GIT 令牌的有效性（例如，使用这个 go GIT 客户端 API）并从中提取用户的身份，从而验证请求您可以在后端端点 doc 中找到有关后端令牌验证的更多详细信息，特别是查找以下部分：了解 Identity Toolkit cookie/token为用户获取信息现在后端的实际令牌验证可能需要几秒钟，因此对来自应用程序的每个 REST 请求进行验证可能不切实际。如果是这样，您需要以某种方式：保存该特定应用程序实例的用户在您的应用程序和后端之间管理的“会话”之类的信息中进行身份验证的信息将后端收到的特定 REST 请求映射到特定的此类经过身份验证的“会话”但是我不确定在应用程序+后端上下文中这个“会话”功能究竟是如何完成的，我还没有编写任何应用程序。