אחרי ש-Google מחזירה אסימון מזהה, הוא נשלח לנקודת הקצה להתחברות באמצעות בקשת method מסוג POST
HTTP, עם שם הפרמטר credential
.
הדוגמה הבאה בשפת Python כוללת את השלבים הרגילים לתיקוף ולשימוש של האסימון המזהה:
אימות האסימון 'זיוף בקשה בין אתרים' (CSRF). כשאתם שולחים פרטי כניסה לנקודת הקצה להתחברות, אנחנו משתמשים בתבנית של קובצי cookie שנשלחים פעמיים כדי למנוע התקפות CSRF. לפני כל שליחה, אנחנו יוצרים אסימון. לאחר מכן, האסימון מוכנס גם לקובץ ה-cookie וגם לגוף הפוסט, כפי שמוצג בדוגמת הקוד הבאה:
csrf_token_cookie = self.request.cookies.get('g_csrf_token') if not csrf_token_cookie: webapp2.abort(400, 'No CSRF token in Cookie.') csrf_token_body = self.request.get('g_csrf_token') if not csrf_token_body: webapp2.abort(400, 'No CSRF token in post body.') if csrf_token_cookie != csrf_token_body: webapp2.abort(400, 'Failed to verify double submit cookie.')
מאמתים את האסימון המזהה.
כדי לוודא שהאסימון תקין, צריך לוודא שהקריטריונים הבאים מתקיימים:
- Google חתומה באופן תקין על האסימון המזהה. יש להשתמש במפתחות הציבוריים של Google
(זמינים בפורמט
JWK או
PEM)
לאימות החתימה של האסימון. המפתחות האלה עוברים רוטציה באופן קבוע. כדאי לבדוק את הכותרת
Cache-Control
בתשובה כדי לקבוע מתי צריך לאחזר אותם שוב. - הערך של
aud
באסימון המזהה שווה לאחד ממזהי הלקוח של האפליקציה שלך. הבדיקה הזו נדרשת כדי למנוע אסימונים מזהים שהונפקו לאפליקציה זדונית שנעשה בה שימוש כדי לגשת לנתונים של אותו משתמש בשרת הקצה העורפי של האפליקציה. - הערך של
iss
באסימון המזהה שווה ל-accounts.google.com
או ל-https://accounts.google.com
. - מועד התפוגה (
exp
) של האסימון המזהה לא חלף. - כדי לוודא שהאסימון המזהה מייצג חשבון ארגוני ב-Google Workspace או ב-Cloud, אפשר לבדוק את ההצהרה
hd
, שבה מצוין הדומיין המתארח של המשתמש. צריך להשתמש באפשרות הזו כשמגבילים את הגישה למשאב רק לחברים בדומיינים מסוימים. אם לא ההצהרה הזו לא תשויך, החשבון לא שייך לדומיין באירוח של Google.
במקום לכתוב קוד משלך לביצוע שלבי האימות האלה, מומלץ מאוד להשתמש בספריית לקוח של Google API לפלטפורמה שלך, או בספריית JWT לשימוש כללי. לפיתוח ולניפוי באגים, אפשר לקרוא לנקודת הקצה של האימות
tokeninfo
.שימוש בספריית לקוח של Google API
שימוש באחת מספריות הלקוח של Google API (לדוגמה, Java, Node.js, PHP, Python) היא הדרך המומלצת לאמת אסימונים של מזהי Google בסביבת ייצור.
Java כדי לאמת אסימון מזהה ב-Java, משתמשים באובייקט GoogleIdTokenVerifier. לדוגמה:
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken; import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload; import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier; ... GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory) // Specify the CLIENT_ID of the app that accesses the backend: .setAudience(Collections.singletonList(CLIENT_ID)) // Or, if multiple clients access the backend: //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3)) .build(); // (Receive idTokenString by HTTPS POST) GoogleIdToken idToken = verifier.verify(idTokenString); if (idToken != null) { Payload payload = idToken.getPayload(); // Print user identifier String userId = payload.getSubject(); System.out.println("User ID: " + userId); // Get profile information from payload String email = payload.getEmail(); boolean emailVerified = Boolean.valueOf(payload.getEmailVerified()); String name = (String) payload.get("name"); String pictureUrl = (String) payload.get("picture"); String locale = (String) payload.get("locale"); String familyName = (String) payload.get("family_name"); String givenName = (String) payload.get("given_name"); // Use or store profile information // ... } else { System.out.println("Invalid ID token."); }
השיטה
GoogleIdTokenVerifier.verify()
מאמתת את חתימת ה-JWT, את הצהרתaud
, את הצהרתiss
ואת ההצהרהexp
.כדי לוודא שהאסימון המזהה מייצג חשבון ארגוני ב-Google Workspace או ב-Cloud, אפשר לאמת את הצהרת
hd
באמצעות בדיקת שם הדומיין שהוחזר על ידי methodPayload.getHostedDomain()
. הדומיין שצוין בתלונה ב-email
לא מספיק כדי להבטיח שהחשבון מנוהל על ידי דומיין או ארגון.Node.js כדי לאמת אסימון מזהה ב-Node.js, צריך להשתמש בספריית האימות של Google עבור Node.js. מתקינים את הספרייה:
npm install google-auth-library --save
לאחר מכן, מפעילים את הפונקציהverifyIdToken()
. לדוגמה:const {OAuth2Client} = require('google-auth-library'); const client = new OAuth2Client(); async function verify() { const ticket = await client.verifyIdToken({ idToken: token, audience: CLIENT_ID, // Specify the CLIENT_ID of the app that accesses the backend // Or, if multiple clients access the backend: //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3] }); const payload = ticket.getPayload(); const userid = payload['sub']; // If request specified a G Suite domain: // const domain = payload['hd']; } verify().catch(console.error);
הפונקציה
verifyIdToken
מאמתת את חתימת ה-JWT, את הצהרתaud
, את ההצהרהexp
ואת ההצהרהiss
.כדי לוודא שהאסימון המזהה מייצג חשבון ארגוני ב-Google Workspace או ב-Cloud, אפשר לבדוק את ההצהרה
hd
, שבה מצוין הדומיין המתארח של המשתמש. צריך להשתמש באפשרות הזו כשמגבילים את הגישה למשאב רק לחברים בדומיינים מסוימים. אם לא ההצהרה הזו לא תשויך, החשבון לא שייך לדומיין באירוח של Google.PHP כדי לאמת אסימון מזהה ב-PHP, משתמשים בספריית הלקוח של Google API עבור PHP. מתקינים את הספרייה (לדוגמה, באמצעות Composer):
composer require google/apiclient
לאחר מכן, מפעילים את הפונקציהverifyIdToken()
. לדוגמה:require_once 'vendor/autoload.php'; // Get $id_token via HTTPS POST. $client = new Google_Client(['client_id' => $CLIENT_ID]); // Specify the CLIENT_ID of the app that accesses the backend $payload = $client->verifyIdToken($id_token); if ($payload) { $userid = $payload['sub']; // If request specified a G Suite domain: //$domain = $payload['hd']; } else { // Invalid ID token }
הפונקציה
verifyIdToken
מאמתת את חתימת ה-JWT, את הצהרתaud
, את ההצהרהexp
ואת ההצהרהiss
.כדי לוודא שהאסימון המזהה מייצג חשבון ארגוני ב-Google Workspace או ב-Cloud, אפשר לבדוק את ההצהרה
hd
, שבה מצוין הדומיין המתארח של המשתמש. צריך להשתמש באפשרות הזו כשמגבילים את הגישה למשאב רק לחברים בדומיינים מסוימים. אם לא ההצהרה הזו לא תשויך, החשבון לא שייך לדומיין באירוח של Google.Python כדי לאמת אסימון מזהה ב-Python, משתמשים בפונקציה verify_oauth2_token. לדוגמה:
from google.oauth2 import id_token from google.auth.transport import requests # (Receive token by HTTPS POST) # ... try: # Specify the CLIENT_ID of the app that accesses the backend: idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID) # Or, if multiple clients access the backend server: # idinfo = id_token.verify_oauth2_token(token, requests.Request()) # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]: # raise ValueError('Could not verify audience.') # If auth request is from a G Suite domain: # if idinfo['hd'] != GSUITE_DOMAIN_NAME: # raise ValueError('Wrong hosted domain.') # ID token is valid. Get the user's Google Account ID from the decoded token. userid = idinfo['sub'] except ValueError: # Invalid token pass
הפונקציה
verify_oauth2_token
מאמתת את חתימת ה-JWT, את הצהרתaud
ואת ההצהרהexp
. בנוסף, צריך לאמת את הטענהhd
(אם רלוונטי) על ידי בחינת האובייקט שמחזיר על ידיverify_oauth2_token
. אם כמה לקוחות ניגשים לשרת הקצה העורפי, צריך לאמת גם באופן ידני את ההצהרהaud
.- Google חתומה באופן תקין על האסימון המזהה. יש להשתמש במפתחות הציבוריים של Google
(זמינים בפורמט
JWK או
PEM)
לאימות החתימה של האסימון. המפתחות האלה עוברים רוטציה באופן קבוע. כדאי לבדוק את הכותרת
לאחר אימות התקינות של האסימון, תוכלו להשתמש במידע שבאסימון המזהה של Google כדי להתאים את סטטוס החשבון באתר שלכם:
משתמש לא רשום: אפשר להציג ממשק משתמש (UI) להרשמה, שמאפשר למשתמש לספק פרטי פרופיל נוספים, אם יש צורך. הוא גם מאפשר למשתמש ליצור בשקט את החשבון החדש וסשן של משתמש מחובר.
חשבון קיים שכבר קיים באתר: אפשר להציג דף אינטרנט שמאפשר למשתמש הקצה להזין את הסיסמה שלו ולקשר את החשבון הקודם לפרטי הכניסה שלו ב-Google. זהו אישור לכך שלמשתמש יש גישה לחשבון הקיים.
משתמש מאוחד חוזר: אתם יכולים להכניס את המשתמש לחשבון שקט.