本文旨在澄清在google app engine (gae) 应用中，将google oauth2令牌用于访问应用内部受限（admin-only）url的常见误解。我们将详细解释oauth2令牌的真实用途——授权访问第三方（如google）api，而非直接作为gae应用自身内部资源的认证凭证。同时，文章将指导如何在gae环境中正确地实现内部用户认证和受限资源访问，避免将oauth2令牌应用于不适用的场景。
理解OAuth2的核心作用
OAuth2（开放授权2.0）协议主要用于授权第三方应用访问用户在另一个服务提供商（例如Google、Facebook等）上的受保护资源，而无需共享用户的凭据。其核心流程通常涉及：
- 用户授权： 用户同意第三方应用访问其在服务提供商上的特定数据。
- 获取授权码： 第三方应用获得一个授权码。
- 交换访问令牌： 第三方应用使用授权码向服务提供商交换一个访问令牌（Access Token）。
- 访问受保护资源： 第三方应用使用此访问令牌向服务提供商请求访问用户的受保护资源（例如Google用户的个人信息、日历、云端硬盘文件等）。
在上述场景中，Google扮演的是OAuth服务提供商（Provider）的角色，而您的应用则是OAuth客户端（Consumer），目的是消费Google提供的API（如获取用户基本信息）。
例如，当您使用Go语言的goauth2库并执行类似以下命令时：
go run main.go -code YOUR_AUTH_CODE
如果该程序配置正确，它会向Google API（例如Google UserInfo API）发送请求，并返回当前OAuth令牌所代表的用户信息，例如：
{
"gender": "male",
"locale": "en-GB"
}这表明您的OAuth授权流程是成功的，并且令牌能够有效访问Google提供的API。
GAE应用内部受限URL的认证机制
Google App Engine 提供了内置的认证机制来保护您的应用。当您在app.yaml中配置某个URL路径为login: admin时，GAE会强制要求访问该路径的用户必须是与该GAE项目关联的Google账户管理员。这个认证过程是GAE平台层面实现的，它通常通过重定向到Google账户登录页面来完成，而不是通过验证您应用接收到的OAuth2令牌。
当您尝试使用一个Google OAuth2令牌（例如，通过Authorization: Bearer YOUR_TOKEN头）来访问您GAE应用中的admin: true URL时，GAE的内置认证系统并不会识别这个令牌为有效的应用内部管理员会话凭证。相反，它会发现当前请求没有GAE平台所需的管理员会话Cookie，因此会将客户端重定向到Google账户登录页面，以启动标准的管理员身份验证流程。这就是为什么您会看到返回的是Google账户登录页面的HTML内容。
误区：将Google OAuth2令牌用于应用内部认证
核心误区在于，将从Google获取的OAuth2令牌，误以为可以直接用于认证用户访问您自己的GAE应用内部受限资源。
- OAuth2令牌的用途： 授权您的应用访问Google的API。
- GAE管理员认证的用途： 认证用户是您GAE应用的管理员，这是GAE平台提供的独立功能。
发送一个Google颁发的OAuth令牌给您的GAE应用，并不能直接为您在GAE应用中创建一个会话Cookie，或者绕过GAE平台对admin: true路径的内置认证要求。
GAE应用中正确处理认证与授权的实践
为了在GAE应用中正确地处理用户认证和受限资源的访问，您应该考虑以下方法：
1. 对于GAE管理员专用页面 (login: admin)
对于在app.yaml中配置为login: admin的URL，GAE平台会自行处理认证。您无需在应用代码中进行额外的OAuth2令牌验证。用户访问这些页面时，如果未登录或不是管理员，将被重定向到Google账户登录页面。一旦用户以管理员身份登录，GAE将设置相应的会话Cookie，并允许访问。
2. 对于普通用户认证和授权 (使用GAE User API)
如果您希望在您的GAE应用中实现普通用户登录和访问控制（例如，区分普通用户和高级用户），您应该使用Google App Engine提供的User API（或在现代应用中使用Google Identity Platform/Firebase Authentication）。
以Python为例，GAE User API的基本用法如下：
from google.appengine.api import users
from google.appengine.ext import webapp
from google.appengine.ext.webapp.util import run_wsgi_app
class MainPage(webapp.RequestHandler):
def get(self):
user = users.get_current_user()
if user:
# 用户已登录
self.response.headers['Content-Type'] = 'text/plain'
self.response.out.write('Hello, %s! You can sign out.' %
(user.nickname(), users.create_logout_url(self.request.uri)))
else:
# 用户未登录
self.response.headers['Content-Type'] = 'text/plain'
self.response.out.write('Hello, stranger! Please sign in.' %
(users.create_login_url(self.request.uri)))
application = webapp.WSGIApplication([('/', MainPage)], debug=True)
def main():
run_wsgi_app(application)
if __name__ == '__main__':
main()这个API允许您：
- 检查当前用户是否已登录 (users.get_current_user())。
- 生成登录URL (users.create_login_url())。
- 生成登出URL (users.create_logout_url())。
- 检查用户是否为管理员 (users.is_current_user_admin())。
通过这种方式，您的应用可以利用Google账户进行用户身份验证，并基于用户的登录状态和管理员权限来控制对不同资源的访问。
3. 对于API接口的编程访问 (服务账户或自定义认证)
如果您需要允许其他服务或客户端以编程方式访问您的GAE应用API，并且这些API需要认证，您可以考虑以下方案：
- Google服务账户 (Service Accounts): 如果是Google云内部的服务间通信，或者需要代表您的应用而不是特定用户进行操作，服务账户是理想选择。服务账户可以被授予特定的IAM角色，并使用其密钥进行身份验证。
-
自定义认证方案： 对于面向外部的API，您可以实现自己的认证机制，例如：
- API Keys: 适用于简单的身份验证和速率限制。
- JWT (JSON Web Tokens): 您可以实现一个OAuth2提供商，或者使用第三方认证服务（如Auth0, Firebase Auth）来颁发JWT，并在您的GAE应用中验证这些JWT。这种情况下，您的GAE应用将作为JWT的资源服务器，负责验证令牌的有效性。
总结
核心要点是区分OAuth2令牌的授权目标。Google颁发的OAuth2令牌旨在授权您的应用访问Google的API，而不是作为您自己的GAE应用的内部认证凭证。对于GAE应用内部的管理员访问，应依赖GAE平台内置的login: admin机制；对于普通用户认证，应使用GAE User API或更现代的身份验证服务；对于编程接口访问，则可考虑服务账户或自定义的API认证方案。理解这些区别，是构建安全、高效GAE应用的关键。
