Un server web Java deve chiamare le API di Google Cloud per conto di utenti che si autenticano con le loro identità Google. Quale flusso di autenticazione dovrebbe implementare la tua applicazione web?

L'opzione corretta descrive il flusso OAuth 2.0 per applicazioni web server-side, che è il metodo standard e sicuro per consentire a un'applicazione di accedere alle API di Google per conto di un utente. L'applicazione reindirizza l'utente a Google per l'autenticazione e il consenso, riceve un codice di autorizzazione, e poi lo scambia lato server con un token di accesso. Questo token viene usato per chiamare le API, mantenendo le credenziali dell'utente al sicuro. Le altre opzioni sono errate perché: Chiedere e memorizzare password (anche hashate) è una pratica di sicurezza estremamente sconsigliata e non è il modo in cui Google autentica le API. Inoltrare credenziali raw al server di autorizzazione è insicuro e non conforme agli standard OAuth 2.0. Memorizzare un codice di autorizzazione direttamente in un cookie del browser per riutilizzo è insicuro e non è il meccanismo corretto; il codice di autorizzazione è monouso e deve essere scambiato lato server.