使用webapp2会话进行Google Cloud Endpoints身份验证

我的Google Cloud Endpoints API的客户端是一个JavaScript(AngularJS)Web应用程序,托管在与Endpoints API本身相同的Google App Engine应用程序上.我的用户使用webapp2会话(数据存储区)进行身份验证.他们不一定拥有Google帐户.我希望能够向Endpoints API发出请求,这样/api/users/me会返回当前登录用户的用户数据.

首先,我认为我必须为我的App Engine应用程序实现OAuth2提供程序,然后让AngularJS应用程序从我自己的App Engine OAuth提供程序(而不是Google的OAuth提供程序)请求OAuth2访问令牌,就像内置的身份验证机制一样).

但是,此评论建议不要实现我自己的OAuth2提供程序,而是在我的请求中(在消息字段中或在HTTP标头中)向Endpoints API提供任意参数.我猜这个参数应该是一个用户令牌(登录用户特有的一些加密值？).然后应将该值传递给浏览器.那不安全吗？如果可能,我不想在HTTPS上提供我的AngularJS应用程序(以节省成本).

这是OAuth2的一个很好的用例吗？或者OAuth2仅用于授予第三方应用程序访问用户数据的权限？

如果OAuth2不是这样的话:如何将用户令牌安全地传递给浏览器并防止中间人攻击？用户令牌是否应在一定时间后过期？