Sprawdź token Google ID po stronie serwera

Po zwróceniu przez Google tokena identyfikatora jest on przesyłany za pomocą żądania metody HTTP POST o nazwie parametru credential do punktu końcowego logowania.

Poniżej znajdziesz przykład w języku Python, który przedstawia standardowe kroki weryfikacji i wykorzystywania tokena identyfikatora:

  1. Zweryfikuj token sfałszowania żądania między witrynami (CSRF). Gdy przesyłasz dane logowania do punktu końcowego logowania, stosujemy wzorzec double-submit-cookie, aby zapobiegać atakom CSRF. Przed każdym przesłaniem generujemy token. Następnie token jest umieszczany zarówno w pliku cookie, jak i w treści posta, jak w tym przykładzie kodu:

    csrf_token_cookie = self.request.cookies.get('g_csrf_token')
if not csrf_token_cookie:
    webapp2.abort(400, 'No CSRF token in Cookie.')
csrf_token_body = self.request.get('g_csrf_token')
if not csrf_token_body:
    webapp2.abort(400, 'No CSRF token in post body.')
if csrf_token_cookie != csrf_token_body:
    webapp2.abort(400, 'Failed to verify double submit cookie.')

  2. Zweryfikuj token identyfikatora.

    Aby potwierdzić poprawność tokena, upewnij się, że: są spełnione kryteria:

    • Token tożsamości jest prawidłowo podpisany przez Google. Używanie kluczy publicznych Google (dostępny w JWK lub PEM) aby zweryfikować podpis tokena. Klucze te są regularnie poddawane rotacji, badanie nagłówka Cache-Control w odpowiedzi, aby określić, kiedy pobierz je ponownie.
    • Wartość aud w tokenie identyfikatora jest równa jednej z wartości identyfikatorów klientów. Jest to konieczne, aby zapobiec tokenom tożsamości wydanym złośliwemu hakerowi w celu uzyskania dostępu do danych tego samego użytkownika na serwerze backendu aplikacji.
    • Wartość iss w tokenie identyfikatora jest równa accounts.google.com lub https://accounts.google.com.
    • Nie upłynął czas ważności (exp) tokena identyfikatora.
    • Jeśli chcesz sprawdzić, czy token identyfikatora reprezentuje Google Workspace lub Cloud konta organizacji, możesz sprawdzić twierdzenie hd, które wskazuje, w domenie użytkownika. Tej opcji należy używać, gdy dostęp do zasobu mają tylko użytkownicy należący do określonych domen. Brak tego roszczenia oznacza, że konto nie należy do Domena hostowana przez Google.

    Za pomocą pól email, email_verified i hd możesz określić, czy Google hostuje dany adres e-mail i jest dla niego autorytatywny. W przypadkach, w których autorytatywny jest Google, czy użytkownik jest znany jako faktyczny właściciel konta, więc możesz pominąć hasło lub inne a także metody testów.

    Przypadki, w których Google ma wiarygodność:

    • To jest konto Gmail, adres email ma sufiks @gmail.com.
    • To jest konto G Suite, email_verified ma wartość prawda i ustawiono hd.

    Użytkownicy mogą rejestrować się w Google, nie korzystając z Gmaila lub G Suite. Kiedy email nie zawiera sufiksu @gmail.com, a hd nie występuje, Google nie zalecamy wiarygodność i hasło lub inne metody weryfikujące weryfikację użytkownika. email_verified może również być prawdziwe, ponieważ początkowo firma Google zweryfikowała użytkownika przy tworzeniu konta Google, jednak własność firmy zewnętrznej konto e-mail mogło się od tego czasu zmienić.

    Zamiast pisać własny kod do wykonania tych czynności weryfikacyjnych, zalecamy, zalecamy korzystanie z biblioteki klienta interfejsów API Google na swojej platformie lub do ogólnego przeznaczenia, Biblioteka JWT. Do programowania i debugowania możesz używać wywołania naszego tokeninfo punktu końcowego weryfikacji.

    Korzystanie z biblioteki klienta interfejsów API Google

    Użycie jednej z bibliotek klienta interfejsu API Google (np. Java, Node.js, PHP lub Python) to zalecany sposób weryfikacji tokenów identyfikatorów Google w środowisku produkcyjnym.

    Java

    Aby zweryfikować token identyfikatora w Javie, użyj obiektu GoogleIdTokenVerifier. Na przykład:

    import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

    Metoda GoogleIdTokenVerifier.verify() weryfikuje podpis JWT, deklaracje aud, iss i exp.

    Jeśli chcesz sprawdzić, czy token identyfikatora reprezentuje konto organizacji w Google Workspace lub Cloud, możesz zweryfikować zgłoszenie hd, sprawdzając nazwę domeny zwracaną przez metodę Payload.getHostedDomain(). Domena w zgłoszeniu email nie jest wystarczająca, aby upewnić się, że konto jest zarządzane przez domenę lub organizację.

    Node.js

    Aby zweryfikować token identyfikatora w Node.js, użyj biblioteki uwierzytelniania Google dla Node.js. Zainstaluj bibliotekę: 

    npm install google-auth-library --save
    Następnie wywołaj funkcję verifyIdToken(). Na przykład:

    const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

    Funkcja verifyIdToken weryfikuje podpis JWT, aud, exp i iss.

    Aby sprawdzić, czy token identyfikatora reprezentuje konto organizacji w Google Workspace lub Cloud, możesz zapoznać się z deklaracją hd, która wskazuje hostowaną domenę użytkownika. Tej opcji należy używać, gdy ograniczasz dostęp do zasobu tylko do użytkowników z określonych domen. Brak takiego roszczenia oznacza, że konto nie należy do domeny hostowanej przez Google.

    PHP

    Aby zweryfikować token identyfikatora w języku PHP, użyj biblioteki klienta interfejsu API Google dla języka PHP. Zainstaluj bibliotekę (na przykład za pomocą narzędzia Composer): 

    composer require google/apiclient
    Następnie wywołaj funkcję verifyIdToken(). Na przykład:

    require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

    Funkcja verifyIdToken weryfikuje podpis JWT, aud, exp i iss.

    Aby sprawdzić, czy token identyfikatora reprezentuje konto organizacji w Google Workspace lub Cloud, możesz zapoznać się z deklaracją hd, która wskazuje hostowaną domenę użytkownika. Tej opcji należy używać, gdy ograniczasz dostęp do zasobu tylko do użytkowników z określonych domen. Brak takiego roszczenia oznacza, że konto nie należy do domeny hostowanej przez Google.

    Python

    Aby zweryfikować token identyfikatora w Pythonie, użyj funkcji verify_oauth2_token. Na przykład:

    from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

    Funkcja verify_oauth2_token weryfikuje podpis JWT, deklarację aud i deklarację exp. Musisz też zweryfikować żądanie hd (jeśli dotyczy), sprawdzając obiekt zwracany przez verify_oauth2_token. Jeśli do serwera backendu uzyskuje dostęp wielu klientów, również ręcznie zweryfikuj deklarację aud.

  3. Po potwierdzeniu poprawności tokena możesz używać informacji z tokena identyfikatora Google do korelacji stanu konta witryny:

    • Niezarejestrowany użytkownik: możesz pokazać interfejs do rejestracji, w którym będzie mógł on w razie potrzeby podać dodatkowe informacje o profilu. Umożliwia też dyskretne utworzenie nowego konta i sesję zalogowanego użytkownika.

    • Istniejące konto w Twojej witrynie: możesz pokazać stronę internetową, na której użytkownik będzie mógł wpisać hasło i połączyć starsze konto z danymi logowania Google. Jest to potwierdzenie, że użytkownik ma dostęp do istniejącego konta.

    • Powracający użytkownik sfederowany: możesz dyskretnie zalogować użytkownika.