Oauth en Appengine con los servicios de Google Play

Estoy utilizando los servicios de reproducción de Google en Android para obtener acceso a Google Apis y Google Cloud Endpoints. También podría acceder a la API de appengine User utilizando un token de Google Play Services. es posible? Hay algún código de ejemplo en este enlace para OAuth, pero es un poco vago. ¿Puedo pasar el token oauth en un encabezado y obtener un usuario con el código de abajo ??

User user = null; try { OAuthService oauth = OAuthServiceFactory.getOAuthService(); user = oauth.getCurrentUser(); } catch (OAuthRequestException e) { // The consumer made an invalid OAuth request, used an access token that was // revoked, or did not provide OAuth information. // ... }

Usted puede, pero este enfoque no va a ser tan seguro como un escenario donde usted está:

utilizando un ámbito específico del servicio para una API de Google
acceder a una API de Endpoints directamente

Puede utilizar Google Play Services para obtener un token para el ámbito que desea utilizar. Ya que está interesado en usar la API de Users en App Engine, deseará que el ámbito userinfo.email :

 String mScope = "https://www.googleapis.com/auth/userinfo.email"; try { token = GoogleAuthUtil.getToken(mActivity, mEmail, mScope); } catch { ... }

Envíe esto a App Engine a través del encabezado de autorización:

 Authorization: Bearer your_token

A continuación, utilizando la API de OAuth , puede obtener un objeto User :

 String mScope = "https://www.googleapis.com/auth/userinfo.email"; User user = null; try { OAuthService oauth = OAuthServiceFactory.getOAuthService(); user = oauth.getCurrentUser(mScope); } catch (OAuthRequestException e) { // The consumer made an invalid OAuth request, used an access token that was // revoked, or did not provide OAuth information. // ... }

Pero, en general, usted no quiere hacer esto! Si protege su aplicación de esta manera, otro usuario puede escribir una aplicación que le pide permiso a su ámbito userinfo.email . Una vez concedido, todo lo que necesitan hacer es tomar el token y pasarlo a su aplicación, y aparecen como lo hace. Los puntos finales y otras API de Google tienen lógica adicional en su lugar para evitar este tipo de comportamiento, por lo que es mejor utilizar uno de esos enfoques.