Zweryfikuj token identyfikatora Google po stronie serwera

Gdy Google zwróci token identyfikacyjny, zostanie on przesłany do punktu końcowego logowania za pomocą żądania metody HTTP POST z parametrem o nazwie credential.

Oto przykład w języku Python, który pokazuje typowe czynności weryfikacji i użytkowania tokenu identyfikacyjnego:

  1. Sprawdź token CSRF. Gdy przesyłasz dane logowania do punktu końcowego logowania, używamy wzorca podwójnego przesyłania plików cookie, aby zapobiec atakom CSRF. Przed każdym przesłaniem generujemy token. Następnie token jest umieszczany w ciasteczce i w treści posta, jak pokazano w tym przykładzie kodu:

    csrf_token_cookie = self.request.cookies.get('g_csrf_token')
    if not csrf_token_cookie:
        webapp2    .abort(400, 'No CSRF token in Cookie.')
    csrf_token_body     = self.request.get('g_csrf_token')
    if not csrf_token_body:
        webapp2    .abort(400, 'No CSRF token in post body.')
    if csrf_token_cookie != csrf_token_body:
        webapp2    .abort(400, 'Failed to verify double submit cookie.')

  2. Zweryfikuj token identyfikacyjny.

    Aby potwierdzić poprawność tokena, upewnij się, że: są spełnione kryteria:

    • Token tożsamości jest prawidłowo podpisany przez Google. Używanie kluczy publicznych Google (dostępny w JWK lub PEM) aby zweryfikować podpis tokena. Klucze te są regularnie poddawane rotacji, badanie nagłówka Cache-Control w odpowiedzi, aby określić, kiedy pobierz je ponownie.
    • Wartość aud w tokenie identyfikatora jest równa jednej z wartości identyfikatorów klientów. Jest to konieczne, aby zapobiec tokenom tożsamości wydanym złośliwemu hakerowi w celu uzyskania dostępu do danych tego samego użytkownika na serwerze backendu aplikacji.
    • Wartość iss w tokenie identyfikatora jest równa accounts.google.com lub https://accounts.google.com.
    • Nie upłynął czas ważności (exp) tokena identyfikatora.
    • Jeśli chcesz sprawdzić, czy token identyfikatora reprezentuje Google Workspace lub Cloud konta organizacji, możesz sprawdzić twierdzenie hd, które wskazuje, w domenie użytkownika. Tej opcji należy używać, gdy dostęp do zasobu mają tylko użytkownicy należący do określonych domen. Brak tego roszczenia oznacza, że konto nie należy do Domena hostowana przez Google.

    Za pomocą pól email, email_verified i hd możesz określić, czy Google hostuje dany adres e-mail i jest dla niego autorytatywny. W przypadkach, w których autorytatywny jest Google, czy użytkownik jest znany jako faktyczny właściciel konta, więc możesz pominąć hasło lub inne a także metody testów.

    Przypadki, w których Google ma wiarygodność:

    • To jest konto Gmail, adres email ma sufiks @gmail.com.
    • To jest konto G Suite, email_verified ma wartość prawda i ustawiono hd.

    Użytkownicy mogą rejestrować się w Google, nie korzystając z Gmaila lub G Suite. Kiedy email nie zawiera sufiksu @gmail.com, a hd nie występuje, Google nie zalecamy wiarygodność i hasło lub inne metody weryfikujące weryfikację użytkownika. email_verified może również być prawdziwe, ponieważ początkowo firma Google zweryfikowała użytkownika przy tworzeniu konta Google, jednak własność firmy zewnętrznej konto e-mail mogło się od tego czasu zmienić.

    Zamiast pisać własny kod do wykonania tych czynności weryfikacyjnych, zalecamy, zalecamy korzystanie z biblioteki klienta interfejsów API Google na swojej platformie lub do ogólnego przeznaczenia, Biblioteka JWT. Do programowania i debugowania możesz używać wywołania naszego tokeninfo punktu końcowego weryfikacji.

    Korzystanie z biblioteki klienta interfejsów API Google

    Używanie jednej z bibliotek klienta interfejsów API Google (np. Java Node.js, PHP, Pythona) to zalecany sposób weryfikacji tokenów tożsamości Google w środowisku produkcyjnym.

    JawaNode.jsPHPPython

    Aby zweryfikować token identyfikatora w Javie, skorzystaj z GoogleIdTokenVerifier. Na przykład:

    import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
    import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
    import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

    ...

    GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
            // Specify the CLIENT_ID of the app that accesses the backend:
            .setAudience(Collections.singletonList(CLIENT_ID))
            // Or, if multiple clients access the backend:
            //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
            .build();

    // (Receive idTokenString by HTTPS POST)

    GoogleIdToken idToken = verifier.verify(idTokenString);
    if (idToken != null) {
          Payload payload = idToken.getPayload();

          // Print user identifier
          String userId = payload.getSubject();
          System.out.println("User ID: " + userId);

          // Get profile information from payload
          String email = payload.getEmail();
          boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
          String name = (String) payload.get("name");
          String pictureUrl = (String) payload.get("picture");
          String locale = (String) payload.get("locale");
          String familyName = (String) payload.get("family_name");
          String givenName = (String) payload.get("given_name");

          // Use or store profile information
          // ...

    } else {
          System.out.println("Invalid ID token.");
    }

    Metoda GoogleIdTokenVerifier.verify() weryfikuje token JWT podpis, twierdzenie aud, roszczenie iss oraz Roszczenie exp.

    Jeśli chcesz sprawdzić, czy token identyfikatora reprezentuje Google Workspace lub Cloud konta organizacji, możesz zweryfikować własność domeny hd, sprawdzając nazwę domeny zwracanymi przez metodę Payload.getHostedDomain(). Domena Roszczenie dotyczące email nie wystarcza do zapewnienia, że konto jest zarządzane przez domenę lub organizacji.

    Aby sprawdzić token identyfikatora w Node.js, użyj biblioteki uwierzytelniania Google dla Node.js. Zainstaluj bibliotekę: 

    npm install google-auth-library --save
     Następnie wywołaj funkcję verifyIdToken(). Na przykład:

    const {OAuth2Client} = require('google-auth-library');
    const client = new OAuth2Client();
    async     function verify() {
          const ticket = await client.verifyIdToken({
          idToken    : token,
          audience    : CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
              // Or, if multiple clients access the backend:
              //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
          });
          const payload = ticket.getPayload();
          const userid = payload['sub'];
          // If the request specified a Google Workspace domain:
          // const domain = payload['hd'];
    }
    verify    ().catch(console.error);

    Funkcja verifyIdToken weryfikuje podpis JWT, deklaracja aud, deklaracja exp, i roszczenie iss.

    Jeśli chcesz sprawdzić, czy token identyfikatora reprezentuje Google Workspace lub Cloud konta organizacji, możesz sprawdzić twierdzenie hd, które wskazuje, w domenie użytkownika. Tej opcji należy używać, gdy dostęp do zasobu mają tylko użytkownicy i konkretnych domen. Brak tego roszczenia oznacza, że konto nie należy do: jest domeną hostowaną przez Google.

    Aby sprawdzić token identyfikatora w języku PHP, użyj biblioteki klienta interfejsów API Google dla języka PHP. Zainstaluj bibliotekę (np. za pomocą narzędzia Composer): 

    composer require google/apiclient
     Następnie wywołaj funkcję verifyIdToken(). Na przykład:

    require_once 'vendor/autoload.php';

    // Get $id_token via HTTPS POST.

    $client     = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
    $payload     = $client->verifyIdToken($id_token);
    if ($payload) {
      $userid     = $payload['sub'];
          // If the request specified a Google Workspace domain
          //$domain = $payload['hd'];
    } else {
          // Invalid ID token
    }

    Funkcja verifyIdToken weryfikuje podpis JWT, deklaracja aud, deklaracja exp, i roszczenie iss.

    Jeśli chcesz sprawdzić, czy token identyfikatora reprezentuje Google Workspace lub Cloud konta organizacji, możesz sprawdzić twierdzenie hd, które wskazuje, w domenie użytkownika. Tej opcji należy używać, gdy dostęp do zasobu mają tylko użytkownicy i konkretnych domen. Brak tego roszczenia oznacza, że konto nie należy do: jest domeną hostowaną przez Google.

    Aby sprawdzić token tożsamości w Pythonie, użyj instrukcji verify_oauth2_token . Na przykład:

    from google.oauth2 import id_token
    from google.auth.transport import requests

    # (Receive token by HTTPS POST)
    # ...

    try:
            # Specify the CLIENT_ID of the app that accesses the backend:
        idinfo     = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

            # Or, if multiple clients access the backend server:
            # idinfo = id_token.verify_oauth2_token(token, requests.Request())
            # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
            #     raise ValueError('Could not verify audience.')

            # If the request specified a Google Workspace domain
            # if idinfo['hd'] != DOMAIN_NAME:
            #     raise ValueError('Wrong domain name.')

            # ID token is valid. Get the user's Google Account ID from the decoded token.
        userid     = idinfo['sub']
    except ValueError:
            # Invalid token
            pass

    Funkcja verify_oauth2_token weryfikuje token JWT podpis, roszczenie aud i roszczenie exp. Musisz też zweryfikować hd roszczenia (jeśli dotyczy) przez sprawdzenie obiektu, który verify_oauth2_token zwraca. Jeśli wielu klientów ma dostęp do serwera backendu, ręcznie zweryfikuj również deklarację aud.

  3. Po potwierdzeniu ważności tokena możesz użyć informacji z tokena Google ID, aby powiązać stan konta witryny:

    • Niezarejestrowany użytkownik: możesz wyświetlić interfejs rejestracji, który umożliwia użytkownikowi podanie dodatkowych informacji o profilu (jeśli to wymagane). Pozwala też użytkownikowi na utworzenie nowego konta i zalogowanie się w ramach sesji.

    • Istotne konto, które jest już dostępne w Twojej witrynie: możesz wyświetlić stronę internetową, na której użytkownik może wpisać hasło i połączyć swoje konto starsze z danymi logowania Google. Potwierdza to, że użytkownik ma dostęp do istniejącego konta.

    • Powracający użytkownik z federacją: możesz umożliwić mu logowanie bez potwierdzenia.