이 페이지는 Cloud Translation API를 통해 번역되었습니다.

ID 토큰을 사용하여 백엔드로 인증

원탭 로그인 클라이언트는 사용자가 Google 계정을 선택하면 Google ID 토큰을 가져옵니다. ID 토큰은 사용자 ID의 서명된 어설션으로, 사용자의 기본 프로필 정보(Google에서 확인한 이메일 주소 포함)도 포함합니다.

ID 토큰을 사용할 수 있게 되면 앱의 백엔드로 안전하게 인증하거나 사용자의 이메일 주소를 확인하지 않고도 사용자를 새 계정에 자동으로 등록하는 데 사용할 수 있습니다.

ID 토큰으로 사용자를 로그인하거나 등록하려면 앱의 백엔드로 토큰을 전송합니다. 백엔드에서 Google API 클라이언트 라이브러리 또는 범용 JWT 라이브러리를 사용하여 토큰을 확인합니다. 사용자가 이전에 이 Google 계정으로 앱에 로그인한 적이 없다면 새 계정을 만듭니다.

재생 공격을 방지하기 위해 선택적으로 nonce를 사용하도록 선택한 경우 getNonce를 사용하여 ID 토큰과 함께 백엔드 서버에 전송하고 예상 값을 확인합니다. 사용자 안전 및 보안을 개선하기 위해 nonce를 사용하는 것이 좋습니다.

사용자 인증 정보 객체에서 ID 토큰 가져오기

사용자 인증 정보를 검색한 후 사용자 인증 정보 객체에 ID 토큰이 포함되어 있는지 확인합니다. 일치하면 백엔드로 전송합니다.

Java

public class YourActivity extends AppCompatActivity {

  // ...
  private static final int REQ_ONE_TAP = 2;  // Can be any integer unique to the Activity.
  private boolean showOneTapUI = true;
  // ...

  @Override
  protected void onActivityResult(int requestCode, int resultCode, @Nullable Intent data) {
      super.onActivityResult(requestCode, resultCode, data);

      switch (requestCode) {
          case REQ_ONE_TAP:
              try {
                  SignInCredential credential = oneTapClient.getSignInCredentialFromIntent(data);
                  String idToken = credential.getGoogleIdToken();
                  if (idToken !=  null) {
                      // Got an ID token from Google. Use it to authenticate
                      // with your backend.
                      Log.d(TAG, "Got ID token.");
                  }
              } catch (ApiException e) {
                  // ...
              }
              break;
      }
  }
}

Kotlin

class YourActivity : AppCompatActivity() {

    // ...
    private val REQ_ONE_TAP = 2  // Can be any integer unique to the Activity
    private var showOneTapUI = true
    // ...

    override fun onActivityResult(requestCode: Int, resultCode: Int, data: Intent?) {
        super.onActivityResult(requestCode, resultCode, data)

        when (requestCode) {
             REQ_ONE_TAP -> {
                try {
                    val credential = oneTapClient.getSignInCredentialFromIntent(data)
                    val idToken = credential.googleIdToken
                    when {
                        idToken != null -> {
                            // Got an ID token from Google. Use it to authenticate
                            // with your backend.
                            Log.d(TAG, "Got ID token.")
                        }
                        else -> {
                            // Shouldn't happen.
                            Log.d(TAG, "No ID token!")
                        }
                    }
                } catch (e: ApiException) {
                    // ...
            }
        }
    }
    // ...
}

ID 토큰의 무결성 확인

HTTPS POST로 ID 토큰을 수신한 후에는 토큰의 무결성을 확인해야 합니다.

토큰이 유효한지 확인하려면 다음 기준이 충족되는지 확인하세요.

Google에서 ID 토큰에 올바르게 서명했습니다. Google의 공개 키(JWK 또는 PEM 형식으로 제공)를 사용하여 토큰의 서명을 확인합니다. 이러한 키는 정기적으로 순환됩니다. 응답의 Cache-Control 헤더를 검사하여 언제 다시 검색해야 하는지 판단합니다.
ID 토큰의 aud 값은 앱의 클라이언트 ID 중 하나와 동일합니다. 이 검사는 악성 앱에 발급된 ID 토큰이 앱의 백엔드 서버에 있는 동일한 사용자의 데이터에 액세스하는 데 사용되는 것을 방지하기 위해 필요합니다.
ID 토큰의 iss 값이 accounts.google.com 또는 https://accounts.google.com입니다.
ID 토큰의 만료 시간 (exp)이 지나지 않았습니다.
ID 토큰이 Google Workspace 또는 Cloud 조직 계정을 나타내는지 확인해야 하는 경우 사용자의 호스팅된 도메인을 나타내는 hd 클레임을 확인하면 됩니다. 리소스에 대한 액세스를 특정 도메인의 구성원으로만 제한할 때 사용해야 합니다. 이 클레임이 없으면 계정이 Google 호스팅 도메인에 속하지 않는다는 의미입니다.

이러한 확인 단계를 수행하기 위해 코드를 직접 작성하는 대신 플랫폼에 맞는 Google API 클라이언트 라이브러리나 범용 JWT 라이브러리를 사용하는 것이 좋습니다. 개발 및 디버깅의 경우 tokeninfo 유효성 검사 엔드포인트를 호출할 수 있습니다.

Google API 클라이언트 라이브러리 사용

프로덕션 환경에서 Google ID 토큰을 검증할 때는 Google API 클라이언트 라이브러리 (예: 자바, Node.js, PHP, Python) 중 하나를 사용하는 것이 좋습니다.

자바

자바에서 ID 토큰의 유효성을 검사하려면 GoogleIdTokenVerifier 객체를 사용합니다. 예를 들면 다음과 같습니다.

import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

GoogleIdTokenVerifier.verify() 메서드는 JWT 서명, aud 클레임, iss 클레임, exp 클레임을 확인합니다.

ID 토큰이 Google Workspace 또는 Cloud 조직 계정을 나타내는지 검증해야 한다면 Payload.getHostedDomain() 메서드에서 반환된 도메인 이름을 확인하여 hd 클레임을 확인할 수 있습니다. email 클레임의 도메인만으로는 계정을 도메인이나 조직에서 관리하는 데 충분하지 않습니다.

Node.js

Node.js에서 ID 토큰을 검증하려면 Node.js용 Google 인증 라이브러리를 사용하세요. 라이브러리를 설치합니다.

npm install google-auth-library --save

그런 다음 verifyIdToken() 함수를 호출합니다. 예를 들면 다음과 같습니다.

const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

verifyIdToken 함수는 JWT 서명, aud 클레임, exp 클레임, iss 클레임을 확인합니다.

ID 토큰이 Google Workspace 또는 Cloud 조직 계정을 나타내는지 확인해야 하는 경우 사용자의 호스팅된 도메인을 나타내는 hd 클레임을 확인하면 됩니다. 리소스에 대한 액세스를 특정 도메인의 구성원으로만 제한할 때 사용해야 합니다. 이 클레임이 없으면 계정이 Google 호스팅 도메인에 속하지 않는다는 의미입니다.

PHP

PHP에서 ID 토큰의 유효성을 검사하려면 PHP용 Google API 클라이언트 라이브러리를 사용합니다. 라이브러리를 설치합니다 (예: Composer 사용).

composer require google/apiclient

그런 다음 verifyIdToken() 함수를 호출합니다. 예를 들면 다음과 같습니다.

require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

verifyIdToken 함수는 JWT 서명, aud 클레임, exp 클레임, iss 클레임을 확인합니다.

Python

Python에서 ID 토큰을 검증하려면 verify_oauth2_token 함수를 사용합니다. 예를 들면 다음과 같습니다.

from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

verify_oauth2_token 함수는 JWT 서명, aud 클레임, exp 클레임을 확인합니다. 또한 verify_oauth2_token가 반환하는 객체를 검사하여 hd 클레임 (해당하는 경우)을 확인해야 합니다. 여러 클라이언트가 백엔드 서버에 액세스하는 경우 aud 클레임도 수동으로 확인합니다.

Calling the tokeninfo endpoint

An easy way to validate an ID token signature for debugging is to use the tokeninfo endpoint. Calling this endpoint involves an additional network request that does most of the validation for you while you test proper validation and payload extraction in your own code. It is not suitable for use in production code as requests may be throttled or otherwise subject to intermittent errors.

To validate an ID token using the tokeninfo endpoint, make an HTTPS POST or GET request to the endpoint, and pass your ID token in the id_token parameter. For example, to validate the token "XYZ123", make the following GET request:

https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123

If the token is properly signed and the iss and exp claims have the expected values, you will get a HTTP 200 response, where the body contains the JSON-formatted ID token claims. Here's an example response:

{
 // These six fields are included in all Google ID Tokens.
 "iss": "https://accounts.google.com",
 "sub": "110169484474386276334",
 "azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "iat": "1433978353",
 "exp": "1433981953",

 // These seven fields are only included when the user has granted the "profile" and
 // "email" OAuth scopes to the application.
 "email": "testuser@gmail.com",
 "email_verified": "true",
 "name" : "Test User",
 "picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg",
 "given_name": "Test",
 "family_name": "User",
 "locale": "en"
}

Warning: Once you get these claims, you still need to check that the aud claim contains one of your app's client IDs. If it does, then the token is both valid and intended for your client, and you can safely retrieve and use the user's unique Google ID from the sub claim.

If you need to validate that the ID token represents a Google Workspace account, you can check the hd claim, which indicates the hosted domain of the user. This must be used when restricting access to a resource to only members of certain domains. The absence of this claim indicates that the account does not belong to a Google Workspace hosted domain.

계정 또는 세션 만들기

토큰을 확인한 후 사용자가 이미 사용자 데이터베이스에 있는지 확인합니다. 이 경우 사용자를 위해 인증된 세션을 설정합니다. 사용자가 아직 사용자 데이터베이스에 없는 경우 ID 토큰 페이로드의 정보로 새 사용자 레코드를 만들고 사용자 세션을 설정합니다. 앱에서 새로 생성된 사용자를 감지할 때 필요한 추가 프로필 정보를 사용자에게 묻는 메시지를 표시할 수 있습니다.

계정 간 보안으로 사용자 계정 보호하기

Google을 통해 사용자 로그인을 처리하면 Google에서 사용자 데이터를 보호하기 위해 구축한 모든 보안 기능과 인프라를 자동으로 활용할 수 있습니다. 하지만 드물게 사용자의 Google 계정이 도용되거나 다른 중대한 보안 문제가 발생하는 경우 앱이 공격에 취약할 수도 있습니다. 주요 보안 이벤트로부터 계정을 더 잘 보호하려면 교차 계정 보호를 사용하여 Google에서 보안 알림을 받으세요. 이러한 이벤트를 수신하면 사용자의 Google 계정 보안에 대한 중요한 변경사항을 파악할 수 있으므로 서비스에 조치를 취하여 계정을 보호할 수 있습니다.