Um servidor web Java precisa chamar as APIs do Google Cloud em nome de usuários que se autenticam com suas identidades Google. Qual fluxo de trabalho de autenticação seu aplicativo web deve implementar?

A opção correta descreve o fluxo de autenticação OAuth 2.0 para aplicativos web, que é o método padrão e seguro para acessar APIs do Google em nome de usuários. O aplicativo redireciona o usuário para o Google para autenticação e consentimento (SSO e escopos), recebe um código de autorização, e então o servidor do aplicativo troca esse código por um token de acesso. Este token é usado para chamar as APIs do Google Cloud. A primeira opção é insegura, pois armazenar hashes de senhas de usuários do Google localmente e enviá-los diretamente para as APIs do Google não é um método de autenticação válido e expõe as credenciais dos usuários. A segunda opção também é insegura e não é um fluxo de autenticação OAuth 2.0 padrão, pois o aplicativo não deve lidar diretamente com as credenciais brutas do usuário. A terceira opção está incorreta porque armazenar o código de autorização diretamente em um cookie do navegador para reutilização não é o fluxo completo e seguro; o código deve ser trocado por um token de acesso pelo servidor.