Estoy usando Google OAuth 2.0 para proporcionar inicios de sesión a mi sitio (una herramienta interna de rinkydink para el uso de otros desarrolladores en mi empresa, por lo que la seguridad no es de suma importancia, pero hay algunas restricciones de acceso) Sin embargo, una vez que haya iniciado sesión , No necesito acceder a ningún recurso de Google adicional: solo recibo el correo electrónico del usuario y considero que el usuario ha iniciado sesión. ¿Cómo se hace normalmente? Las opciones que veo son ...
A. Guarde este inicio de sesión en una cookie y nunca vuelva a contactar a Google (al menos hasta que la cookie se agote o el usuario cierre la sesión manualmente)
B. Tenga una cookie a largo plazo que almacene una clave (el servidor almacena el código OAuth) y vuelva a autenticarse cuando el usuario quiera realizar una acción confidencial.
C. Tenga una cookie a largo plazo que almacene una clave (el servidor almacena el código OAuth) y una cookie de sesión a corto plazo que caduca cuando cierran su navegador. Cada vez que acceden a la página, vuelvo a autenticarme una vez y les doy esta cookie de sesión.