カスタム認証ツールを使用しているときにAppEngineエンドポイントのクライアントIDを検証する

Question

Googleのクライアントサイドアプリは、以前はGoogle Sign-Inを使用していました。

Googleアカウントの代わりにユーザーの電話番号を唯一のIDとして使用する予定であるため、カスタム認証に移行します。しかし、カスタムオーセンティケータを実装した後、クライアントIDはチェックされず、どこからでもAPIコールを行うことができます。

クライアント側でGoogleログインのみが使用されていた場合、クライアントIDが検証されていて、認証されていないクライアントからAPI呼び出しを行うことができませんでした。

カスタムオーセンティケータの使用中にクライアントIDを確認するにはどうすればよいですか？

カスタム認証用

@Api(name = "apiSubscriber", 
     clientIds = { 
     Constants.webClientId, 
     Constants.androidClientId, 
     Constants.iOSClientId 
     }, 

     authenticators = {com.google.api.server.spi.auth.EndpointsAuthenticator.class, 
     CustomAuth.class}, 
     audiences = {Constants.androidAudience}, 
    ) 

    public class ApiSubscriber { 

      @ApiMethod 
      public Subscriber getSubscriberData(User user){ 

       if(user!=null){ 
       //fetches subscriber data 
       } 

      } 

     //... Other ApiMethods 

    } 

コード

public class CustomAuth implements Authenticator { 


    @Override 
    public User authenticate(HttpServletRequest request) { 

     String phoneNumber = request.getHeader("phoneNumber"); 
     String token = request.getHeader("Authorization"); 

     if(checkToken(phoneNumber,token)){ 
       return new User(phoneNumber); 
     } 

     return null; 
    } 

    private boolean checkToken(String phoneNumber, String token){ 
     //Checks if authorization token is valid 
    } 


} 

Answer 1

残念ながら現時点では、あなたがクライアントに自分のエンドポイントのAPIを制限することができますようには見えないし、Googleを使用していないアピエンドポイントのコードログインする。

GoogleのoAuth2認証を使用すると、いくつかの魔法のブードーが起こる（正確にはわからない）とアプリがClientIdの仕様に制限されるify。

しかし、その認証方法の使用をやめると、私はそれがもう動作しないことがわかりました（私の親愛なる失望）。

あなたは私のテストし、あなたに多くの情報を与える可能性があり、いくつかの追加のことについて読むことができ、ここで私の質問を参照してください：私はわからないAuthenticating your client to Cloud Endpoints without a Google Account login

Answer 2

は、それが問題ですが、あなたは、あなたが提供するコードでいくつかのバグを持っています。

authenticators = {com.google.api.server.spi.auth.EndpointsAuthenticator.class, 
    CustomAuth.class, 

カンマの代わりに角かっこを使用する必要があります。また、imho、ここではCustomAuthクラスのみが必要です。

audiences = {Constants.androidAudience}, 

カンマが冗長です。

秒。カスタムオーセンティケータを使用する必要はありません。トークンと電話番号を連結パラメータまたは2つのパラメータとしてサービスメソッドに送信してチェックすることができます。