Vue.js 2+Java+PostgreSQL环境下Google OAuth2登录技术问询

1. 用谷歌返回的credential（id token）直接登录我方系统可行吗？有安全问题吗？ #

可以直接用，但必须在后端完成id token的合法性验证，绝对不能只靠前端拿到就直接放行。
安全风险点在于前端拿到的id token可能被伪造或篡改，后端必须做以下验证：

• 验证token的签名有效性（用谷歌官方公钥，避免硬编码，可实时获取）
• 检查iss字段是否为https://accounts.google.com
• 检查aud字段是否匹配你的谷歌OAuth客户端ID
• 检查exp字段，确保token未过期
• 可选检查email_verified字段，确认用户邮箱已验证

只要后端完成这些验证，就可以信任该token，允许用户登录系统。

2. 必须走授权码兑换access token的流程吗？这样更安全吗？ #

如果当前只需要登录功能，不需要调用谷歌API（比如获取用户日历、联系人等），用现在的id token流程就足够，不需要走授权码流程。
但如果未来要调用谷歌API，就必须走授权码流程——只有这个流程能拿到可调用API的access token和refresh token。
安全性方面，授权码流程确实更严谨：授权码只会传到后端，后端再去兑换token，避免了token暴露在前端的风险；当前的id token流程（比如Google One Tap）是直接返回id token给前端，虽然只要后端验证就安全，但授权码流程的攻击面更小。

3. 我方用户表应该存哪些数据？需要保存token吗？ #

核心要存的字段：

• 谷歌用户唯一标识sub：用来关联谷歌账号和我方系统用户，唯一且不会变更，是必存项
• 用户邮箱（email）、姓名（name）、头像地址（picture）：用户基本信息，方便系统内展示
• 账号创建时间、最后登录时间：用于统计和用户管理

关于token的存储：

• id token不需要存：它是短期有效（通常1小时），每次登录都会返回新的，验证完就没用了
• 如果未来走授权码流程拿到了refresh token：需要加密后存在数据库，用来后续刷新access token、调用谷歌API；access token不用存，因为有效期短，需要时用refresh token兑换即可

4. /login端点接收什么参数？如何实现保持登录和登出？ #

端点参数 #

/login端点应该接收前端传来的credential（即谷歌返回的id token）。前端拿到该值后，通过POST请求传递给后端接口。

保持登录实现 #

后端验证id token合法后，需要生成我方系统自己的登录凭证：

• Session方案：后端创建session，把用户信息存入session，返回sessionId给前端（通常存在Cookie中，开启HttpOnly、Secure属性防XSS）
• JWT方案：后端生成JWT令牌，包含用户ID、过期时间等信息，返回给前端存在localStorage或Cookie中；前端每次请求带上JWT，后端验证签名和有效期

两种方案都要设置合理的过期时间，比如Session默认30分钟无操作过期，JWT设置几小时有效期，同时可实现“记住我”功能延长过期时间。

登出控制 #

• 前端：清除本地的sessionId或JWT，跳转登录页
• 后端：如果用Session，销毁对应的session；如果用JWT，因是无状态无法主动失效，只能依赖过期时间，也可维护一个JWT黑名单（比如把失效的JWT存在Redis里，每次验证时检查）
• 可选操作：如果存了谷歌的refresh token，调用谷歌的revoke接口让其失效，避免后续被滥用

内容的提问来源于stack exchange，提问作者Bryan Santos