Ein Java-Webserver muss Google Cloud APIs im Auftrag von Benutzern aufrufen, die sich mit ihren Google-Identitäten authentifizieren. Welchen Authentifizierungs-Workflow sollte Ihre Webanwendung implementieren?

Die korrekte Option beschreibt den OAuth 2.0-Autorisierungscode-Flow, der für Webserver-Anwendungen empfohlen wird. Dieser Flow ist sicher, da der Server niemals die Anmeldeinformationen des Benutzers sieht und das Zugriffstoken direkt vom Google-Autorisierungsserver erhält, nicht über den Browser des Benutzers. Die Umleitung zu einem Google-Zustimmungsbildschirm ermöglicht Single Sign-On (SSO) und die explizite Genehmigung von Berechtigungen (Scopes) durch den Benutzer. Die erste Option ist unsicher und verstößt gegen Best Practices, da sie Benutzerpasswörter lokal speichert und direkt an Google APIs sendet, was nicht der vorgesehene Authentifizierungsmechanismus ist. Die zweite Option ist ebenfalls unsicher, da sie die direkten Anmeldeinformationen des Benutzers an den Google-Autorisierungsserver weiterleitet, was ein Sicherheitsrisiko darstellt und nicht dem OAuth 2.0-Standard entspricht. Die dritte Option ist unsicher, da sie den Autorisierungscode im Browser-Cookie speichert und direkt von dort verwendet, anstatt ihn serverseitig gegen ein Zugriffstoken auszutauschen. Ein Autorisierungscode sollte niemals direkt für API-Aufrufe verwendet werden.