Tengo una extensión de Chrome que permite a los usuarios iniciar sesión exclusivamente con Google y ningún otro proveedor.
En mi (nodo + couchdb) backend, necesito crear una cuenta de usuario a partir de la Respuesta de autenticación proporcionada por la API de oauth2 de Google. Estaba pensando en usar un hash del id_token como contraseña después de verificar el token utilizando el tokeninfo api
Me doy cuenta de que el id_token cambia de vez en cuando. En ese caso, esperaba actualizar la contraseña del usuario automáticamente.
Aquí está el flujo que tenía en mente:
- El usuario inicia sesión en el front-end y obtiene un id_token de google
- El token de identificación se envía al servidor y se verifica mediante la API de tokeninfo
- Si se verifica, se crea una cuenta de usuario con una contraseña que es el hash del id_token.
¿Ve algún agujero de seguridad con este flujo? Si es así, ¿cuáles son las alternativas?