Zweryfikuj token identyfikatora Google po stronie serwera

Gdy Google zwróci token identyfikacyjny, zostanie on przesłany do punktu końcowego logowania za pomocą żądania metody HTTP POST z parametrem o nazwie credential.

Oto przykład w języku Python, który pokazuje typowe czynności weryfikacji i użytkowania tokenu identyfikacyjnego:

1. Sprawdź token CSRF. Gdy przesyłasz dane logowania do punktu końcowego logowania, używamy wzorca podwójnego przesyłania plików cookie, aby zapobiec atakom CSRF. Przed każdym przesłaniem generujemy token. Następnie token jest umieszczany w ciasteczce i w treści posta, jak pokazano w tym przykładzie kodu:

   csrf_token_cookie = self.request.cookies.get('g_csrf_token')
   if not csrf_token_cookie:
       webapp2.abort(400, 'No CSRF token in Cookie.')
   csrf_token_body = self.request.get('g_csrf_token')
   if not csrf_token_body:
       webapp2.abort(400, 'No CSRF token in post body.')
   if csrf_token_cookie != csrf_token_body:
       webapp2.abort(400, 'Failed to verify double submit cookie.')
   

2. Zweryfikuj token identyfikacyjny.

   Aby potwierdzić poprawność tokena, upewnij się, że: są spełnione kryteria:

   • Token tożsamości jest prawidłowo podpisany przez Google. Używanie kluczy publicznych Google (dostępny w JWK lub PEM) aby zweryfikować podpis tokena. Klucze te są regularnie poddawane rotacji, badanie nagłówka Cache-Control w odpowiedzi, aby określić, kiedy pobierz je ponownie.
   • Wartość aud w tokenie identyfikatora jest równa jednej z wartości identyfikatorów klientów. Jest to konieczne, aby zapobiec tokenom tożsamości wydanym złośliwemu hakerowi w celu uzyskania dostępu do danych tego samego użytkownika na serwerze backendu aplikacji.
   • Wartość iss w tokenie identyfikatora jest równa accounts.google.com lub https://accounts.google.com.
   • Nie upłynął czas ważności (exp) tokena identyfikatora.
   • Jeśli chcesz sprawdzić, czy token identyfikatora reprezentuje Google Workspace lub Cloud konta organizacji, możesz sprawdzić twierdzenie hd, które wskazuje, w domenie użytkownika. Tej opcji należy używać, gdy dostęp do zasobu mają tylko użytkownicy należący do określonych domen. Brak tego roszczenia oznacza, że konto nie należy do Domena hostowana przez Google.

   Za pomocą pól email, email_verified i hd możesz określić, czy Google hostuje dany adres e-mail i jest dla niego autorytatywny. W przypadkach, w których autorytatywny jest Google, czy użytkownik jest znany jako faktyczny właściciel konta, więc możesz pominąć hasło lub inne a także metody testów.

   Przypadki, w których Google ma wiarygodność:

   • To jest konto Gmail, adres email ma sufiks @gmail.com.
   • To jest konto G Suite, email_verified ma wartość prawda i ustawiono hd.

   Użytkownicy mogą rejestrować się w Google, nie korzystając z Gmaila lub G Suite. Kiedy email nie zawiera sufiksu @gmail.com, a hd nie występuje, Google nie zalecamy wiarygodność i hasło lub inne metody weryfikujące weryfikację użytkownika. email_verified może również być prawdziwe, ponieważ początkowo firma Google zweryfikowała użytkownika przy tworzeniu konta Google, jednak własność firmy zewnętrznej konto e-mail mogło się od tego czasu zmienić.

   Zamiast pisać własny kod do wykonania tych czynności weryfikacyjnych, zalecamy, zalecamy korzystanie z biblioteki klienta interfejsów API Google na swojej platformie lub do ogólnego przeznaczenia, Biblioteka JWT. Do programowania i debugowania możesz używać wywołania naszego tokeninfo punktu końcowego weryfikacji.

   使用 Google API 客户端库

   使用某个 Google API 客户端库（例如 Java、 Node.js、 PHP、 Python） 是在生产环境中验证 Google ID 令牌的推荐方法。

   <ph type="x-smartling-placeholder">
   </ph> <ph type="x-smartling-placeholder">

   </ph>

   Java

   要在 Java 中验证 ID 令牌，请使用 GoogleIdTokenVerifier 对象。例如：

   import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
   import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
   import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;
   
   ...
   
   GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
       // Specify the CLIENT_ID of the app that accesses the backend:
       .setAudience(Collections.singletonList(CLIENT_ID))
       // Or, if multiple clients access the backend:
       //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
       .build();
   
   // (Receive idTokenString by HTTPS POST)
   
   GoogleIdToken idToken = verifier.verify(idTokenString);
   if (idToken != null) {
     Payload payload = idToken.getPayload();
   
     // Print user identifier
     String userId = payload.getSubject();
     System.out.println("User ID: " + userId);
   
     // Get profile information from payload
     String email = payload.getEmail();
     boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
     String name = (String) payload.get("name");
     String pictureUrl = (String) payload.get("picture");
     String locale = (String) payload.get("locale");
     String familyName = (String) payload.get("family_name");
     String givenName = (String) payload.get("given_name");
   
     // Use or store profile information
     // ...
   
   } else {
     System.out.println("Invalid ID token.");
   }

   GoogleIdTokenVerifier.verify() 方法验证 JWT 签名、aud 声明、iss 声明以及 exp 项版权主张。

   如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud 组织账号，您可以通过检查域名来验证 hd 所有权声明 由 Payload.getHostedDomain() 方法返回。该 email 声明不足以保证账号是由网域管理 或组织。

   。 <ph type="x-smartling-placeholder">

   </ph>

   Node.js

   要在 Node.js 中验证 ID 令牌，请使用适用于 Node.js 的 Google Auth 库。 安装该库：

   npm install google-auth-library --save

   然后，调用 verifyIdToken() 函数。例如：

   const {OAuth2Client} = require('google-auth-library');
   const client = new OAuth2Client();
   async function verify() {
     const ticket = await client.verifyIdToken({
         idToken: token,
         audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
         // Or, if multiple clients access the backend:
         //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
     });
     const payload = ticket.getPayload();
     const userid = payload['sub'];
     // If the request specified a Google Workspace domain:
     // const domain = payload['hd'];
   }
   verify().catch(console.error);
   

   verifyIdToken 函数用于验证 JWT 签名、aud 声明、exp 声明 以及 iss 声明。

   如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud 组织账号时，您可以查看 hd 声明，该声明表示托管的 用户的网域。将资源访问权限限制为仅允许成员访问时，必须使用此设置 特定网域的用户缺少此声明即表示该账号不属于 Google 托管的域。

   。 <ph type="x-smartling-placeholder">

   </ph>

   PHP

   要在 PHP 中验证 ID 令牌，请使用适用于 PHP 的 Google API 客户端库。 安装该库（例如，使用 Composer）：

   composer require google/apiclient

   然后，调用 verifyIdToken() 函数。例如：

   require_once 'vendor/autoload.php';
   
   // Get $id_token via HTTPS POST.
   
   $client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
   $payload = $client->verifyIdToken($id_token);
   if ($payload) {
     $userid = $payload['sub'];
     // If the request specified a Google Workspace domain
     //$domain = $payload['hd'];
   } else {
     // Invalid ID token
   }
   

   verifyIdToken 函数用于验证 JWT 签名、aud 声明、exp 声明 以及 iss 声明。

   如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud 组织账号时，您可以查看 hd 声明，该声明表示托管的 用户的网域。将资源访问权限限制为仅允许成员访问时，必须使用此设置 特定网域的用户缺少此声明即表示该账号不属于 Google 托管的域。

   。 <ph type="x-smartling-placeholder">

   </ph>

   Python

   要在 Python 中验证 ID 令牌，请使用 verify_oauth2_token 函数。例如：

   from google.oauth2 import id_token
   from google.auth.transport import requests
   
   # (Receive token by HTTPS POST)
   # ...
   
   try:
       # Specify the CLIENT_ID of the app that accesses the backend:
       idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)
   
       # Or, if multiple clients access the backend server:
       # idinfo = id_token.verify_oauth2_token(token, requests.Request())
       # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
       #     raise ValueError('Could not verify audience.')
   
       # If the request specified a Google Workspace domain
       # if idinfo['hd'] != DOMAIN_NAME:
       #     raise ValueError('Wrong domain name.')
   
       # ID token is valid. Get the user's Google Account ID from the decoded token.
       userid = idinfo['sub']
   except ValueError:
       # Invalid token
       pass
   

   verify_oauth2_token 函数验证 JWT 签名、aud 声明和 exp 声明。 您还必须验证 hd 检查 verify_oauth2_token 返回。如果多个客户端访问 后端服务器，另请手动验证 aud 声明。

   Ważna informacja: token identyfikacyjny jest zwracany w polu credential, a nie w polu g_csrf_token.

3. Po potwierdzeniu ważności tokena możesz użyć informacji z tokena Google ID, aby powiązać stan konta witryny:

   • Niezarejestrowany użytkownik: możesz wyświetlić interfejs rejestracji, który umożliwia użytkownikowi podanie dodatkowych informacji o profilu (jeśli to wymagane). Pozwala też użytkownikowi na utworzenie nowego konta i zalogowanie się w ramach sesji.

   • Istotne konto, które jest już dostępne w Twojej witrynie: możesz wyświetlić stronę internetową, na której użytkownik może wpisać hasło i połączyć swoje konto starsze z danymi logowania Google. Potwierdza to, że użytkownik ma dostęp do istniejącego konta.

   • Powracający użytkownik z federacją: możesz umożliwić mu logowanie bez potwierdzenia.

Punkt kluczowy: jako identyfikator użytkownika używaj tylko pola tokenu Google ID sub, ponieważ jest on niepowtarzalny wśród wszystkich kont Google i nigdy nie jest używany ponownie. Pole sub należy przechowywać i kojarzyć z użytkownikiem w systemie zarządzania kontami. Możesz użyć adresu e-mail z tokenu identyfikacyjnego, aby sprawdzić, czy użytkownik ma już konto, ale nie używaj adresu e-mail jako identyfikatora, ponieważ konto Google może mieć w różnych momentach inne adresy e-mail.