आईडी टोकन का इस्तेमाल करके बैकएंड के साथ पुष्टि करें

चेतावनी: Android के लिए One Tap की सुविधा अब काम नहीं करती. अपने ऐप्लिकेशन की सुरक्षा और उपयोगिता को जारी रखने के लिए, इसमें माइग्रेट करें क्रेडेंशियल मैनेजर. क्रेडेंशियल मैनेजर पर पासकी, पासवर्ड, और फ़ेडरेटेड आइडेंटिटी की पुष्टि (जैसे, 'Google से साइन-इन करें') सुरक्षा, और एक ज़्यादा एक जैसा उपयोगकर्ता अनुभव तय करना है.

जब उपयोगकर्ता किसी Google खाता. आईडी टोकन, उपयोगकर्ता की पहचान का हस्ताक्षर किया गया दावा है. इसे उपयोगकर्ता की प्रोफ़ाइल की बुनियादी जानकारी मौजूद हो. इसमें ईमेल पता भी शामिल हो सकता है जिसकी पुष्टि Google ने की है.

आईडी टोकन उपलब्ध होने पर, उनका इस्तेमाल करके अपने ऐप्लिकेशन के बैकएंड पर या नए खाते के लिए उपयोगकर्ता को अपने-आप साइन अप करने के लिए इसके लिए, उपयोगकर्ता के ईमेल पते की पुष्टि करने की ज़रूरत नहीं होती.

आईडी टोकन के ज़रिए उपयोगकर्ता को साइन इन या साइन अप करने के लिए, टोकन को अपने ऐप्लिकेशन के बैकएंड. बैकएंड पर, Google API क्लाइंट का इस्तेमाल करके टोकन की पुष्टि करें या अलग-अलग कामों के लिए इस्तेमाल की जाने वाली JWT लाइब्रेरी. अगर उपयोगकर्ता ने आपके ऐप्लिकेशन का इस्तेमाल करने के लिए तैयार हैं, तो नया खाता बनाएं.

अगर आपने रीप्ले से होने वाले हमलों से बचने के लिए, नॉन्स को इस्तेमाल करने का विकल्प चुना है, तो getNonce इसे अपने बैकएंड सर्वर पर आईडी टोकन के साथ भेजने के लिए, और अपेक्षित मान. हमारा सुझाव है कि आप उपयोगकर्ताओं की सुरक्षा को बेहतर बनाना.

क्रेडेंशियल ऑब्जेक्ट से आईडी टोकन पाएं

उपयोगकर्ता के क्रेडेंशियल वापस पाने के बाद, देखें कि क्रेडेंशियल ऑब्जेक्ट में एक आईडी टोकन शामिल होता है. अगर ऐसा है, तो इसे अपने बैकएंड पर भेजें.

Java

public class YourActivity extends AppCompatActivity {

  // ...
  private static final int REQ_ONE_TAP = 2;  // Can be any integer unique to the Activity.
  private boolean showOneTapUI = true;
  // ...

  @Override
  protected void onActivityResult(int requestCode, int resultCode, @Nullable Intent data) {
      super.onActivityResult(requestCode, resultCode, data);

      switch (requestCode) {
          case REQ_ONE_TAP:
              try {
                  SignInCredential credential = oneTapClient.getSignInCredentialFromIntent(data);
                  String idToken = credential.getGoogleIdToken();
                  if (idToken !=  null) {
                      // Got an ID token from Google. Use it to authenticate
                      // with your backend.
                      Log.d(TAG, "Got ID token.");
                  }
              } catch (ApiException e) {
                  // ...
              }
              break;
      }
  }
}

Kotlin

class YourActivity : AppCompatActivity() {

    // ...
    private val REQ_ONE_TAP = 2  // Can be any integer unique to the Activity
    private var showOneTapUI = true
    // ...

    override fun onActivityResult(requestCode: Int, resultCode: Int, data: Intent?) {
        super.onActivityResult(requestCode, resultCode, data)

        when (requestCode) {
             REQ_ONE_TAP -> {
                try {
                    val credential = oneTapClient.getSignInCredentialFromIntent(data)
                    val idToken = credential.googleIdToken
                    when {
                        idToken != null -> {
                            // Got an ID token from Google. Use it to authenticate
                            // with your backend.
                            Log.d(TAG, "Got ID token.")
                        }
                        else -> {
                            // Shouldn't happen.
                            Log.d(TAG, "No ID token!")
                        }
                    }
                } catch (e: ApiException) {
                    // ...
            }
        }
    }
    // ...
}

पुष्टि करें कि आईडी टोकन भरोसेमंद है या नहीं

एचटीटीपीएस पीओएसटी से आईडी टोकन मिलने के बाद, आपको इंटिग्रिटी की पुष्टि करनी होगी टोकन का इस्तेमाल किया जा सकता है.

टोकन मान्य है, इसकी पुष्टि करने के लिए, पक्का करें कि: शर्तें पूरी की हैं:

• Google ने आईडी टोकन पर सही तरीके से हस्ताक्षर किया है. Google की सार्वजनिक कुंजियों का इस्तेमाल करें (इसमें उपलब्ध है JWK या PEM फ़ॉर्मैट) टोकन के हस्ताक्षर की पुष्टि करने के लिए. ये बटन नियमित रूप से घुमाए जाते हैं; जांच करें जवाब में Cache-Control हेडर, ताकि यह तय किया जा सके कि कब तो आपको उन्हें फिर से वापस लाना होगा.
• आईडी टोकन में aud की वैल्यू, आपके ऐप्लिकेशन की वैल्यू के बराबर है क्लाइंट आईडी. नुकसान पहुंचाने वाले मैलवेयर को जारी किए गए आईडी टोकन को रोकने के लिए यह जांच करना ज़रूरी है ऐप्लिकेशन का इस्तेमाल, आपके ऐप्लिकेशन के बैकएंड सर्वर पर उसी उपयोगकर्ता का डेटा ऐक्सेस करने के लिए किया जा रहा हो.
• आईडी टोकन में iss की वैल्यू इसके बराबर है accounts.google.com या https://accounts.google.com.
• आईडी टोकन की समयसीमा खत्म होने का समय (exp) नहीं हुआ है.
• अगर आपको इस बात की पुष्टि करनी है कि आईडी टोकन, Google Workspace या Cloud से जुड़ा है या नहीं तो आप hd दावे की जांच कर सकते हैं. इससे पता चलता है कि उपयोगकर्ता के डोमेन के साथ काम करता है. इसका इस्तेमाल तब किया जाना चाहिए, जब किसी संसाधन का ऐक्सेस सिर्फ़ इसके सदस्यों तक सीमित रखा गया हो कुछ डोमेन. इस दावे के मौजूद न होने का मतलब है कि यह खाता किसी Google की ओर से होस्ट किया गया डोमेन.

email, email_verified, और hd फ़ील्ड का इस्तेमाल करके, यह पता लगाया जा सकता है कि ईमेल पते को Google होस्ट करता है और आधिकारिक तौर पर उपलब्ध कराता है. ऐसे मामलों में जहां Google आधिकारिक है, वह उपयोगकर्ता उस खाते का वैध स्वामी है और आप पासवर्ड या अन्य विकल्प चैलेंज के तरीके.

ऐसे मामले, जिनमें Google आधिकारिक जानकारी देता है:

• email में @gmail.com सफ़िक्स लगा है. यह Gmail खाता है.
• email_verified सही है और hd सेट है, यह एक G Suite खाता है.

उपयोगकर्ता, Gmail या G Suite का इस्तेमाल किए बिना Google खातों के लिए रजिस्टर कर सकते हैं. टास्क कब शुरू होगा email में @gmail.com सफ़िक्स नहीं है और hd मौजूद नहीं है, Google पुष्टि करने के लिए, भरोसेमंद और पासवर्ड या अन्य चैलेंज वाले तरीकों का इस्तेमाल करने का सुझाव दिया जाता है उपयोगकर्ता है. email_verified भी सही हो सकती है, क्योंकि Google ने शुरुआत में Google खाता बनाए जाने के समय उपयोगकर्ता, हालांकि तीसरे पक्ष का मालिकाना हक शायद उसके बाद ईमेल खाता बदल गया है.

पुष्टि करने के इन चरणों को पूरा करने के लिए, अपना कोड लिखने के बजाय हम इस बात पर ज़ोर देते हैं अपने प्लैटफ़ॉर्म या किसी सामान्य मक़सद के लिए, Google API क्लाइंट लाइब्रेरी का इस्तेमाल करने का सुझाव दिया जाता है JWT लाइब्रेरी. डेवलपमेंट और डीबग करने के लिए, हमारे tokeninfo पर कॉल करें पुष्टि करने वाला एंडपॉइंट.

Google API क्लाइंट लाइब्रेरी का इस्तेमाल करना

Google API क्लाइंट लाइब्रेरी में से किसी एक का इस्तेमाल करके (उदाहरण के लिए, Java, Node.js, फ़िलिपीन पेसो, Python) प्रोडक्शन एनवायरमेंट में Google आईडी टोकन की पुष्टि करने का सुझाया गया तरीका है.

जावा

Java में आईडी टोकन की पुष्टि करने के लिए, GoogleIdTokenVerifier ऑब्जेक्ट है. उदाहरण के लिए:

import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

GoogleIdTokenVerifier.verify() तरीका, JWT की पुष्टि करता है हस्ताक्षर, aud दावा, iss दावा, और exp दावा.

अगर आपको इस बात की पुष्टि करनी है कि आईडी टोकन, Google Workspace या Cloud से जुड़ा है या नहीं तो आप डोमेन नेम की जांच करके hd दावे की पुष्टि कर सकते हैं Payload.getHostedDomain() तरीके से लौटाया जाता है. उस डोमेन का डोमेन email दावा यह पक्का करने के लिए काफ़ी नहीं है कि खाते को किसी डोमेन से मैनेज किया जा रहा है इस्तेमाल करने के लिए प्रोत्साहित करते हैं.

Node.js

Node.js में आईडी टोकन की पुष्टि करने के लिए, Node.js के लिए Google की अनुमति लाइब्रेरी का इस्तेमाल करें. लाइब्रेरी इंस्टॉल करें:

npm install google-auth-library --save

अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है इसके बाद, verifyIdToken() फ़ंक्शन को कॉल करें. उदाहरण के लिए:

const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

verifyIdToken फ़ंक्शन पुष्टि करता है JWT हस्ताक्षर, aud दावा, exp दावा, और iss दावा.

अगर आपको इस बात की पुष्टि करनी है कि आईडी टोकन, Google Workspace या Cloud से जुड़ा है या नहीं तो आप hd दावे की जांच कर सकते हैं. इससे पता चलता है कि उपयोगकर्ता के डोमेन के साथ काम करता है. इसका इस्तेमाल तब किया जाना चाहिए, जब किसी संसाधन का ऐक्सेस सिर्फ़ सदस्यों के लिए प्रतिबंधित किया गया हो कुछ डोमेन हो जाते हैं. इस दावे के मौजूद न होने का मतलब है कि यह खाता डोमेन, जिसे Google होस्ट करता है.

फ़िलिपीन पेसो

PHP में आईडी टोकन की पुष्टि करने के लिए, PHP के लिए Google API क्लाइंट लाइब्रेरी का इस्तेमाल करें. लाइब्रेरी इंस्टॉल करें (उदाहरण के लिए, Composer का इस्तेमाल करके):

composer require google/apiclient

अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है इसके बाद, verifyIdToken() फ़ंक्शन को कॉल करें. उदाहरण के लिए:

require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

verifyIdToken फ़ंक्शन पुष्टि करता है JWT हस्ताक्षर, aud दावा, exp दावा, और iss दावा.

अगर आपको इस बात की पुष्टि करनी है कि आईडी टोकन, Google Workspace या Cloud से जुड़ा है या नहीं तो आप hd दावे की जांच कर सकते हैं. इससे पता चलता है कि उपयोगकर्ता के डोमेन के साथ काम करता है. इसका इस्तेमाल तब किया जाना चाहिए, जब किसी संसाधन का ऐक्सेस सिर्फ़ सदस्यों के लिए प्रतिबंधित किया गया हो कुछ डोमेन हो जाते हैं. इस दावे के मौजूद न होने का मतलब है कि यह खाता डोमेन, जिसे Google होस्ट करता है.

Python

Python में आईडी टोकन की पुष्टि करने के लिए, verify_oauth2_token फ़ंक्शन का इस्तेमाल करना होगा. उदाहरण के लिए:

from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

verify_oauth2_token फ़ंक्शन, JWT की पुष्टि करता है हस्ताक्षर, aud दावा, और exp दावा. आपको hd की पुष्टि भी करनी होगी दावा करें (अगर लागू हो) उस ऑब्जेक्ट की जांच करके, जो verify_oauth2_token का शुल्क देकर, प्रॉडक्ट को लौटाया जा सकता है. अगर कई क्लाइंट बैकएंड सर्वर, aud के दावे की मैन्युअल तरीके से भी पुष्टि करता है.

टोकनइन्फ़ो एंडपॉइंट को कॉल किया जा रहा है

डीबग करने के लिए, आईडी टोकन सिग्नेचर की पुष्टि करने का आसान तरीका यह है कि tokeninfo एंडपॉइंट का इस्तेमाल करें. इस एंडपॉइंट पर कॉल करने में एक अतिरिक्त नेटवर्क अनुरोध, जो सही टेस्ट किए जाने के दौरान, आपके लिए ज़्यादातर पुष्टि करता है की पुष्टि करने और पेलोड एक्सट्रैक्शन को जोड़ने का तरीका बताएंगे. यह प्रोडक्शन में इस्तेमाल करने के लिए सही नहीं है कोड, क्योंकि अनुरोधों को थ्रॉटल किया जा सकता है या दूसरी तरह से समय-समय पर गड़बड़ियां हो सकती हैं.

tokeninfo एंडपॉइंट का इस्तेमाल करके, आईडी टोकन की पुष्टि करने के लिए एचटीटीपीएस बनाएं एंडपॉइंट पर पीओएसटी या जीईटी अनुरोध भेजें और अपना आईडी टोकन id_token पैरामीटर. उदाहरण के लिए, टोकन "XYZ123" की पुष्टि करने के लिए, नीचे दिया गया GET अनुरोध करें:

https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123

अगर टोकन को सही तरीके से साइन किया गया है और iss और exp दावों के लिए अपेक्षित मान हैं, तो आपको एक HTTP 200 प्रतिक्रिया मिलेगी, जहां का मुख्य भाग JSON के फ़ॉर्मैट किए गए आईडी टोकन के दावे शामिल हैं. यहां जवाब का एक उदाहरण दिया गया है:

{
 // These six fields are included in all Google ID Tokens.
 "iss": "https://accounts.google.com",
 "sub": "110169484474386276334",
 "azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "iat": "1433978353",
 "exp": "1433981953",

 // These seven fields are only included when the user has granted the "profile" and
 // "email" OAuth scopes to the application.
 "email": "[e-mail]",
 "email_verified": "true",
 "name" : "Test User",
 "picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg",
 "given_name": "Test",
 "family_name": "User",
 "locale": "en"
}

अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है

चेतावनी: ये दावे मिल जाने के बाद, आपको ऐसा करना होगा यह जांचें कि aud दावे में आपके ऐप्लिकेशन का कोई एक क्लाइंट आईडी है. अगर ऐसा होता है, तो यह टोकन आपके क्लाइंट के लिए मान्य और मान्य है. साथ ही, आपके पास सुरक्षित तरीके से अपने sub दावे से जुड़ा उपयोगकर्ता का यूनीक Google आईडी.

अगर आपको इस बात की पुष्टि करनी है कि आईडी टोकन, Google Workspace खाते का इस्तेमाल करता है या नहीं, तो hd दावा, जो उपयोगकर्ता के होस्ट किए गए डोमेन के बारे में बताता है. इसका इस्तेमाल तब करें, जब किसी संसाधन के ऐक्सेस को सिर्फ़ कुछ डोमेन के सदस्यों के लिए प्रतिबंधित करना. इस दावे का न होना इससे पता चलता है कि खाता, Google Workspace के होस्ट किए गए डोमेन से नहीं जुड़ा है.

खाता या सेशन बनाना

टोकन की पुष्टि करने के बाद, देखें कि उपयोगकर्ता पहले से आपके उपयोगकर्ता खाते में है या नहीं डेटाबेस. अगर ऐसा है, तो उपयोगकर्ता के लिए एक पुष्टि किया गया सेशन बनाएं. अगर उपयोगकर्ता अभी तक आपके उपयोगकर्ता डेटाबेस में नहीं है, तो जानकारी से एक नया उपयोगकर्ता रिकॉर्ड बनाएँ आईडी टोकन पेलोड में डालें और उपयोगकर्ता के लिए एक सेशन बनाएं. आप सूचना भेज सकते हैं उपयोगकर्ता को किसी भी अतिरिक्त प्रोफ़ाइल जानकारी की आवश्यकता होती है, जब आपको किसी जो आपके ऐप्लिकेशन में नए उपयोगकर्ता बने.

उपयोगकर्ताओं की सुरक्षा 'सभी खातों की सुरक्षा' सुविधा वाले खाते

अगर आप किसी उपयोगकर्ता के साइन इन करने के लिए Google पर भरोसा करते हैं, तो आपको अपने-आप ही इन सभी सुविधाओं का फ़ायदा मिलेगा उपयोगकर्ता के डेटा को सुरक्षित रखने के लिए, Google ने बनाया है. हालांकि, उपयोगकर्ता के Google खाते के साथ छेड़छाड़ होने या किसी अन्य स्थिति में की वजह से, आपके ऐप्लिकेशन पर हमले का जोखिम भी हो सकता है. अपने डिवाइस की सुरक्षा खातों को सुरक्षित रखने के लिए, क्रॉस खाते सुरक्षा मोड का इस्तेमाल करके, Google से सुरक्षा से जुड़ी चेतावनियां पाएं. ये इवेंट मिलने पर, उपयोगकर्ता के Google खाते की सुरक्षा में हुए अहम बदलावों के बारे में जानकारी पाने और तो आप अपने खातों को सुरक्षित रखने के लिए अपनी सेवा पर कार्रवाई कर सकते हैं.