rest应用程序的google id令牌管理最佳实践

我正在使用GoogleAuth2.0进行rest服务（web单页应用程序）。 我使用它只是为了识别和注册用户

我的问题是关于令牌和安全性的最佳实践管理

在用户通过googleAuth注册后，他可以读写一些数据，每次他读/写时，客户端必须发送id_令牌，服务器在允许任何操作之前验证（使用google auth库）时间戳

这是正确的方法吗

我应该将令牌存储在数据库中吗

由于令牌相当长（~1000个字符），有没有更好的方法来验证每个请求，而不发送整个令牌并在服务器端验证它

谢谢

---

我只是想证明，除了身份服务，我没有使用任何谷歌api服务。所有rest服务都是在m后端服务器（nodejs）中实现的。每次用户试图通过我的nodejs服务器读取或写入我的应用程序的资源时，我只需要识别他。我可以以某种方式使用google access_令牌吗？？？还是每次我都要验证谷歌id_代币

API请求需要发送的是访问令牌，而不是id令牌。id_令牌用于应用程序识别用户。我认为access_令牌用于访问google api服务，如google drive或类似服务。我不需要任何谷歌服务，但身份之一。