Ta strona została przetłumaczona przez Cloud Translation API.

Uwierzytelnianie za pomocą serwera backendu

Jeśli używasz Logowania przez Google w aplikacji lub witrynie, która komunikuje się z serwerem backendu, może być konieczne zidentyfikowanie aktualnie zalogowanego użytkownika na serwerze. Aby zrobić to w bezpieczny sposób, po zalogowaniu się użytkownika wyślij jego token identyfikatora na swój serwer przy użyciu protokołu HTTPS. Następnie sprawdź na serwerze integralność tokena tożsamości i wykorzystaj zawarte w nim informacje o użytkowniku do zainicjowania sesji lub utworzenia nowego konta.

Ostrzeżenie: nie akceptuj zwykłych identyfikatorów użytkowników, takich jak te, które można uzyskać za pomocą GoogleSignInAccount.getId() method, na swoim serwerze backendu. Zmodyfikowana aplikacja kliencka może wysyłać dowolne identyfikatory zalogowanych użytkowników na Twój serwer, aby podszywać się pod użytkowników. Dlatego musisz używać weryfikowalnych tokenów identyfikatorów, aby bezpiecznie pobierać po stronie serwera identyfikatory zalogowanych użytkowników.

Wyślij token identyfikatora na swój serwer

Najpierw, gdy użytkownik się zaloguje, pobierz jego token tożsamości:

Podczas konfigurowania logowania przez Google wywołaj metodę requestIdToken i przekaż ją identyfikator klienta internetowego serwera.

// Request only the user's ID token, which can be used to identify the
// user securely to your backend. This will contain the user's basic
// profile (name, profile picture URL, etc) so you should not need to
// make an additional call to personalize your application.
GoogleSignInOptions gso = new GoogleSignInOptions.Builder(GoogleSignInOptions.DEFAULT_SIGN_IN)
        .requestIdToken(getString(R.string.server_client_id))
        .requestEmail()
        .build();

Po uruchomieniu aplikacji sprawdź, czy użytkownik zalogował się już w niej za pomocą Google na tym lub innym urządzeniu, dzwoniąc pod numer silentSignIn:

GoogleSignIn.silentSignIn()
    .addOnCompleteListener(
        this,
        new OnCompleteListener<GoogleSignInAccount>() {
          @Override
          public void onComplete(@NonNull Task<GoogleSignInAccount> task) {
            handleSignInResult(task);
          }
        });

Jeśli użytkownik nie może zalogować się w trybie dyskretnym, przedstaw mu zwykłe konto bez zalogowania się, umożliwiając mu zalogowanie się. Gdy użytkownik się zaloguje, pobierz jego GoogleSignInAccount w wyniku działania intencji logowania:
```
// This task is always completed immediately, there is no need to attach an
// asynchronous listener.
Task<GoogleSignInAccount> task = GoogleSignIn.getSignedInAccountFromIntent(data);
handleSignInResult(task);
```

Gdy użytkownik zaloguje się dyskretnie lub jawnie, pobierz token identyfikatora z obiektu GoogleSignInAccount:

private void handleSignInResult(@NonNull Task<GoogleSignInAccount> completedTask) {
    try {
        GoogleSignInAccount account = completedTask.getResult(ApiException.class);
        String idToken = account.getIdToken();

        // TODO(developer): send ID Token to server and validate

        updateUI(account);
    } catch (ApiException e) {
        Log.w(TAG, "handleSignInResult:error", e);
        updateUI(null);
    }
}

Jeśli nie skonfigurowano usługi GoogleSignInOptions w metodzie requestIdToken, getIdToken zwraca wartość null.

Następnie wyślij token identyfikatora na swój serwer za pomocą żądania HTTPS POST:

HttpClient httpClient = new DefaultHttpClient();
HttpPost httpPost = new HttpPost("https://yourbackend.example.com/tokensignin");

try {
  List<NameValuePair> nameValuePairs = new ArrayList<NameValuePair>(1);
  nameValuePairs.add(new BasicNameValuePair("idToken", idToken));
  httpPost.setEntity(new UrlEncodedFormEntity(nameValuePairs));

  HttpResponse response = httpClient.execute(httpPost);
  int statusCode = response.getStatusLine().getStatusCode();
  final String responseBody = EntityUtils.toString(response.getEntity());
  Log.i(TAG, "Signed in as: " + responseBody);
} catch (ClientProtocolException e) {
  Log.e(TAG, "Error sending ID token to backend.", e);
} catch (IOException e) {
  Log.e(TAG, "Error sending ID token to backend.", e);
}

Sprawdź integralność tokena tożsamości

Po otrzymaniu tokena identyfikatora za pomocą HTTPS POST musisz zweryfikować jego integralność.

Aby potwierdzić poprawność tokena, upewnij się, że: są spełnione kryteria:

Token tożsamości jest prawidłowo podpisany przez Google. Używanie kluczy publicznych Google (dostępny w JWK lub PEM) aby zweryfikować podpis tokena. Klucze te są regularnie poddawane rotacji, badanie nagłówka Cache-Control w odpowiedzi, aby określić, kiedy pobierz je ponownie.
Wartość aud w tokenie identyfikatora jest równa jednej z wartości identyfikatorów klientów. Jest to konieczne, aby zapobiec tokenom tożsamości wydanym złośliwemu hakerowi w celu uzyskania dostępu do danych tego samego użytkownika na serwerze backendu aplikacji.
Wartość iss w tokenie identyfikatora jest równa accounts.google.com lub https://accounts.google.com.
Nie upłynął czas ważności (exp) tokena identyfikatora.
Jeśli chcesz sprawdzić, czy token identyfikatora reprezentuje Google Workspace lub Cloud konta organizacji, możesz sprawdzić twierdzenie hd, które wskazuje, w domenie użytkownika. Tej opcji należy używać, gdy dostęp do zasobu mają tylko użytkownicy należący do określonych domen. Brak tego roszczenia oznacza, że konto nie należy do Domena hostowana przez Google.

Za pomocą pól email, email_verified i hd możesz określić, czy Google hostuje dany adres e-mail i jest dla niego autorytatywny. W przypadkach, w których autorytatywny jest Google, czy użytkownik jest znany jako faktyczny właściciel konta, więc możesz pominąć hasło lub inne a także metody testów.

Przypadki, w których Google ma wiarygodność:

To jest konto Gmail, adres email ma sufiks @gmail.com.
To jest konto G Suite, email_verified ma wartość prawda i ustawiono hd.

Użytkownicy mogą rejestrować się w Google, nie korzystając z Gmaila lub G Suite. Kiedy email nie zawiera sufiksu @gmail.com, a hd nie występuje, Google nie zalecamy wiarygodność i hasło lub inne metody weryfikujące weryfikację użytkownika. email_verified może również być prawdziwe, ponieważ początkowo firma Google zweryfikowała użytkownika przy tworzeniu konta Google, jednak własność firmy zewnętrznej konto e-mail mogło się od tego czasu zmienić.

Zamiast pisać własny kod do wykonania tych czynności weryfikacyjnych, zalecamy, zalecamy korzystanie z biblioteki klienta interfejsów API Google na swojej platformie lub do ogólnego przeznaczenia, Biblioteka JWT. Do programowania i debugowania możesz używać wywołania naszego tokeninfo punktu końcowego weryfikacji.

Korzystanie z biblioteki klienta interfejsów API Google

Używanie jednej z bibliotek klienta interfejsów API Google (np. Java Node.js, PHP, Pythona) to zalecany sposób weryfikacji tokenów tożsamości Google w środowisku produkcyjnym.

Jawa

Aby zweryfikować token identyfikatora w Javie, skorzystaj z GoogleIdTokenVerifier. Na przykład:

import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

Metoda GoogleIdTokenVerifier.verify() weryfikuje token JWT podpis, twierdzenie aud, roszczenie iss oraz Roszczenie exp.

Jeśli chcesz sprawdzić, czy token identyfikatora reprezentuje Google Workspace lub Cloud konta organizacji, możesz zweryfikować własność domeny hd, sprawdzając nazwę domeny zwracanymi przez metodę Payload.getHostedDomain(). Domena Roszczenie dotyczące email nie wystarcza do zapewnienia, że konto jest zarządzane przez domenę lub organizacji.

Node.js

Aby sprawdzić token identyfikatora w Node.js, użyj biblioteki uwierzytelniania Google dla Node.js. Zainstaluj bibliotekę:

npm install google-auth-library --save

Następnie wywołaj funkcję verifyIdToken(). Na przykład:

const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

Funkcja verifyIdToken weryfikuje podpis JWT, deklaracja aud, deklaracja exp, i roszczenie iss.

Jeśli chcesz sprawdzić, czy token identyfikatora reprezentuje Google Workspace lub Cloud konta organizacji, możesz sprawdzić twierdzenie hd, które wskazuje, w domenie użytkownika. Tej opcji należy używać, gdy dostęp do zasobu mają tylko użytkownicy i konkretnych domen. Brak tego roszczenia oznacza, że konto nie należy do: jest domeną hostowaną przez Google.

PHP

Aby sprawdzić token identyfikatora w języku PHP, użyj biblioteki klienta interfejsów API Google dla języka PHP. Zainstaluj bibliotekę (np. za pomocą narzędzia Composer):

composer require google/apiclient

Następnie wywołaj funkcję verifyIdToken(). Na przykład:

require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

Funkcja verifyIdToken weryfikuje podpis JWT, deklaracja aud, deklaracja exp, i roszczenie iss.

Python

Aby sprawdzić token tożsamości w Pythonie, użyj instrukcji verify_oauth2_token . Na przykład:

from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

Funkcja verify_oauth2_token weryfikuje token JWT podpis, roszczenie aud i roszczenie exp. Musisz też zweryfikować hd roszczenia (jeśli dotyczy) przez sprawdzenie obiektu, który verify_oauth2_token zwraca. Jeśli wielu klientów ma dostęp do serwera backendu, ręcznie zweryfikuj również deklarację aud.

Wywołanie punktu końcowego tokeninfo

Aby w prosty sposób sprawdzić podpis tokena identyfikatora na potrzeby debugowania, wykonaj te czynności: użyj punktu końcowego tokeninfo. Wywołanie tego punktu końcowego wymaga: dodatkowe żądanie sieciowe, które wykonuje większość weryfikacji za Ciebie podczas testowania prawidłowych; weryfikacji i wyodrębniania ładunku w ramach własnego kodu. Nie nadaje się do użytku w środowisku produkcyjnym ponieważ żądania mogą być ograniczane lub w inny sposób powodować sporadyczne błędy.

Aby zweryfikować token tożsamości za pomocą punktu końcowego tokeninfo, utwórz protokół HTTPS POST lub GET do punktu końcowego i przekaż swój token tożsamości w polu id_token. Aby na przykład zweryfikować token „XYZ123”, wyślij to żądanie GET:

https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123

Jeśli token jest prawidłowo podpisany, a iss i exp ma oczekiwane wartości, otrzymasz odpowiedź HTTP 200, gdzie treść zawiera deklaracje tokena identyfikatora w formacie JSON. Oto przykładowa odpowiedź:

{
 // These six fields are included in all Google ID Tokens.
 "iss": "https://accounts.google.com",
 "sub": "110169484474386276334",
 "azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "iat": "1433978353",
 "exp": "1433981953",

 // These seven fields are only included when the user has granted the "profile" and
 // "email" OAuth scopes to the application.
 "email": "testuser@gmail.com",
 "email_verified": "true",
 "name" : "Test User",
 "picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg",
 "given_name": "Test",
 "family_name": "User",
 "locale": "en"
}

Ostrzeżenie: gdy otrzymasz te roszczenia, musisz Sprawdź, czy roszczenie aud zawiera jeden z identyfikatorów klienta Twojej aplikacji. Jeśli tak, że token jest prawidłowy i przeznaczony dla klienta. Możesz bezpiecznie pobierać i używać unikalny identyfikator Google użytkownika z roszczenia sub.

Jeśli chcesz potwierdzić, że token identyfikatora reprezentuje konto Google Workspace, możesz to sprawdzić twierdzenie hd, które wskazuje hostowaną domenę użytkownika; Tej opcji należy użyć, gdy ograniczanie dostępu do zasobu wyłącznie członkom określonych domen. Brak tego roszczenia wskazuje, że konto nie należy do domeny hostowanej w Google Workspace.

Tworzenie konta lub sesji

Po zweryfikowaniu tokena sprawdź, czy użytkownik znajduje się już w bazie danych użytkowników. Jeśli tak, ustanowij sesję uwierzytelnioną dla użytkownika. Jeśli użytkownika nie ma jeszcze w bazie danych, utwórz nowy rekord użytkownika na podstawie informacji z ładunku tokena identyfikatora i załóż dla niego sesję. Po wykryciu nowo utworzonego użytkownika w aplikacji możesz poprosić użytkownika o podanie wszelkich dodatkowych informacji profilowych, których potrzebujesz.

Zabezpieczanie kont użytkowników za pomocą ochrony obejmującej wiele kont

Logując użytkowników przez Google, automatycznie korzystasz ze wszystkich funkcji zabezpieczeń i infrastruktury Google, które chronią dane tego użytkownika. Jednak w mało prawdopodobnym przypadku naruszenia bezpieczeństwa konta Google użytkownika lub wystąpienia innego ważnego zdarzenia związanego z bezpieczeństwem aplikacja też może być podatna na atak. Aby lepiej chronić swoje konta przed ważnymi zdarzeniami związanymi z bezpieczeństwem, korzystaj z Ochrony wszystkich kont, dzięki której możesz otrzymywać alerty zabezpieczeń od Google. Gdy otrzymasz takie zdarzenia, uzyskasz wgląd w ważne zmiany dotyczące bezpieczeństwa konta Google użytkownika i możesz podjąć odpowiednie działania w swojej usłudze, aby zabezpieczyć swoje konta.