Arka uç sunucusuyla kimlik doğrulama

Google ile Oturum Açma özelliğini, arka uç sunucusuyla iletişim kuran bir uygulama veya siteyle kullanıyorsanız sunucuda o anda oturum açmış olan kullanıcıyı belirlemeniz gerekebilir. Bunu güvenli bir şekilde yapmak için, kullanıcı başarıyla oturum açtıktan sonra kullanıcının kimlik jetonunu HTTPS kullanarak sunucunuza gönderin. Ardından, sunucuda kimlik jetonunun bütünlüğünü doğrulayın ve oturum oluşturmak veya yeni bir hesap oluşturmak için jetonda yer alan kullanıcı bilgilerini kullanın.

Uyarı: Arka uç sunucunuzda GIDGoogleUser.userID property ile alabilecekleriniz gibi düz kullanıcı kimliklerini kabul etmeyin. Değiştirilmiş bir istemci uygulaması, kullanıcıların kimliğine bürünmek için sunucunuza rastgele kullanıcı kimlikleri gönderebilir. Bu nedenle, oturum açmış kullanıcıların kullanıcı kimliklerini sunucu tarafında güvenli bir şekilde almak için bunun yerine doğrulanabilir kimlik jetonları kullanmanız gerekir.

Kimlik jetonunu sunucunuza gönderin

Bir kullanıcı başarıyla oturum açtıktan sonra kullanıcının kimlik jetonunu alın:

Swift

GIDSignIn.sharedInstance.signIn(withPresenting: self) { signInResult, error in
    guard error == nil else { return }
    guard let signInResult = signInResult else { return }

    signInResult.user.refreshTokensIfNeeded { user, error in
        guard error == nil else { return }
        guard let user = user else { return }

        let idToken = user.idToken
        // Send ID token to backend (example below).
    }
}

Objective-C

[GIDSignIn.sharedInstance signInWithPresentingViewController:self
                                              completion:^(GIDSignInResult * _Nullable signInResult,
                                                           NSError * _Nullable error) {
      if (error) { return; }
      if (signInResult == nil) { return; }

      [signInResult.user refreshTokensIfNeededWithCompletion:^(GIDGoogleUser * _Nullable user,
                                                               NSError * _Nullable error) {
          if (error) { return; }
          if (user == nil) { return; }

          NSString *idToken = user.idToken;
          // Send ID token to backend (example below).
      }];
}];

Ardından, kimlik jetonunu sunucunuza bir HTTPS POST isteğiyle gönderin:

Swift

func tokenSignInExample(idToken: String) {
    guard let authData = try? JSONEncoder().encode(["idToken": idToken]) else {
        return
    }
    let url = URL(string: "https://yourbackend.example.com/tokensignin")!
    var request = URLRequest(url: url)
    request.httpMethod = "POST"
    request.setValue("application/json", forHTTPHeaderField: "Content-Type")

    let task = URLSession.shared.uploadTask(with: request, from: authData) { data, response, error in
        // Handle response from your backend.
    }
    task.resume()
}

Objective-C

NSString *signinEndpoint = @"https://yourbackend.example.com/tokensignin";
NSDictionary *params = @{@"idtoken": idToken};

NSMutableURLRequest *request = [NSMutableURLRequest requestWithURL:signinEndpoint];
[request setValue:@"application/x-www-form-urlencoded" forHTTPHeaderField:@"Content-Type"];
[request setHTTPMethod:@"POST"];
[request setHTTPBody:[self httpBodyForParamsDictionary:params]];

NSOperationQueue *queue = [[NSOperationQueue alloc] init];
[NSURLConnection sendAsynchronousRequest:request
                                   queue:queue
                       completionHandler:^(NSURLResponse *response, NSData *data, NSError *error) {
                         if (error) {
                           NSLog(@"Error: %@", error.localizedDescription);
                         } else {
                           NSLog(@"Signed in as %@", data.bytes);
                         }
                       }];

Kimlik jetonunun bütünlüğünü doğrulama

Kimlik jetonunu HTTPS POST ile aldıktan sonra jetonun bütünlüğünü doğrulamanız gerekir.

如需验证令牌是否有效，请确保： 满足条件：

• ID 令牌已由 Google 正确签名。使用 Google 的公钥 （适用于 JWK 或 PEM 格式） 以验证令牌的签名。这些密钥会定期轮替：检查 响应中的 Cache-Control 标头来确定何时 您应该再次检索它们。
• ID 令牌中 aud 的值等于您应用的某个 客户端 ID必须进行此检查，以防止向恶意 应用用于访问应用的后端服务器上的同一用户的相关数据。
• ID 令牌中 iss 的值等于 accounts.google.com 或 https://accounts.google.com。
• ID 令牌的过期时间 (exp) 未过。
• 如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud 组织账号时，您可以查看 hd 声明，该声明表示托管的 用户的网域。将资源访问权限限制为只有 特定网域。缺少此声明即表示相应账号不属于 Google 托管的域名。

您可以使用 email、email_verified 和 hd 字段来确定 Google 负责托管电子邮件地址，并对其具有权威性。如果 Google 拥有权威性， 该用户就是所知的合法账号所有者，您可以跳过密码或其他输入框 验证方法。

Google 具有权威性的情形：

• email 的后缀为 @gmail.com，这是一个 Gmail 账号。
• email_verified 为 true 且 hd 已设置，这是 G Suite 账号。

用户无需使用 Gmail 或 G Suite 即可注册 Google 账号。时间 email 不包含 @gmail.com 后缀且 hd 不存在，Google 未 建议使用权威凭据和密码或其他验证方法进行验证 用户。email_verified 可能为 true，因为 Google 最初验证了 创建 Google 账号后，该用户会拥有第三方的所有权， 后，电子邮件账号可能已更改。

我们强烈建议不要自行编写代码来执行这些验证步骤， 建议您使用适用于您平台的 Google API 客户端库， JWT 库。对于开发和调试，您可以调用我们的 tokeninfo 验证端点。

Google API İstemci Kitaplığı Kullanma

Google API İstemci Kitaplıklarından birini kullanarak (ör. Java, Node.js PHP Python) kullanın Google kimliği jetonlarını üretim ortamında doğrulamak için önerilen yöntemdir.

Java

Java'da bir kimlik jetonunu doğrulamak için GoogleIdTokenVerifier nesnesini tanımlayın. Örneğin:

import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

GoogleIdTokenVerifier.verify() yöntemi JWT'yi doğrular imza, aud hak talebi, iss hak talebi ve exp hak talebi.

Kimlik jetonunun bir Google Workspace veya Cloud'u temsil ettiğini doğrulamanız gerekiyorsa alan adını kontrol ederek hd hak talebini doğrulayabilirsiniz. Payload.getHostedDomain() yöntemi tarafından döndürülür. email hak talebi, hesabın bir alan tarafından yönetilmesini sağlamak için yeterli değil ya da çalıştığınız kuruma bağlıdır.

ziyaret edin.

Node.js

Node.js'de bir kimlik jetonunu doğrulamak üzere Node.js için Google Kimlik Doğrulama Kitaplığı'nı kullanın. Kitaplığı yükleyin:

npm install google-auth-library --save

. Ardından verifyIdToken() işlevini çağırın. Örneğin:

const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

verifyIdToken işlevi doğrular JWT imzası, aud talebi, exp talebi, ve iss hak talebi.

Kimlik jetonunun bir Google Workspace veya Cloud'u temsil ettiğini doğrulamanız gerekiyorsa hd hak talebini kontrol edebilirsiniz. Bu hak talebi, barındırılan etkinliklerin kullanıcının alanıyla ilişkilidir. Bu, bir kaynağa erişimi yalnızca üyelerle kısıtlarken kullanılmalıdır belirli alan adlarında kullanılabilir. Bu hak talebinin olmaması, hesabın Google tarafından barındırılan bir alan adı.

ziyaret edin.

PHP

PHP'deki bir kimlik jetonunu doğrulamak için PHP için Google API İstemci Kitaplığı'nı kullanın. Kitaplığı yükleyin (örneğin, Composer kullanarak):

composer require google/apiclient

. Ardından verifyIdToken() işlevini çağırın. Örneğin:

require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

verifyIdToken işlevi doğrular JWT imzası, aud talebi, exp talebi, ve iss hak talebi.

Kimlik jetonunun bir Google Workspace veya Cloud'u temsil ettiğini doğrulamanız gerekiyorsa hd hak talebini kontrol edebilirsiniz. Bu hak talebi, barındırılan etkinliklerin kullanıcının alanıyla ilişkilidir. Bu, bir kaynağa erişimi yalnızca üyelerle kısıtlarken kullanılmalıdır belirli alan adlarında kullanılabilir. Bu hak talebinin olmaması, hesabın Google tarafından barındırılan bir alan adı.

ziyaret edin.

Python

Python'da bir kimlik jetonunu doğrulamak için verify_oauth2_token işlevini kullanın. Örneğin:

from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

verify_oauth2_token işlevi, JWT'yi doğrular. imza, aud hak talebi ve exp hak talebi. hd alan adını da doğrulamanız gerekiyor. hak talebinde bulunmak (geçerliyse) verify_oauth2_token iade. Birden fazla müşteri arka uç sunucusunda aud hak talebini manuel olarak da doğrulayın.

Calling the tokeninfo endpoint

An easy way to validate an ID token signature for debugging is to use the tokeninfo endpoint. Calling this endpoint involves an additional network request that does most of the validation for you while you test proper validation and payload extraction in your own code. It is not suitable for use in production code as requests may be throttled or otherwise subject to intermittent errors.

To validate an ID token using the tokeninfo endpoint, make an HTTPS POST or GET request to the endpoint, and pass your ID token in the id_token parameter. For example, to validate the token "XYZ123", make the following GET request:

https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123

If the token is properly signed and the iss and exp claims have the expected values, you will get a HTTP 200 response, where the body contains the JSON-formatted ID token claims. Here's an example response:

{
 // These six fields are included in all Google ID Tokens.
 "iss": "https://accounts.google.com",
 "sub": "110169484474386276334",
 "azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "iat": "1433978353",
 "exp": "1433981953",

 // These seven fields are only included when the user has granted the "profile" and
 // "email" OAuth scopes to the application.
 "email": "[e-mail]",
 "email_verified": "true",
 "name" : "Test User",
 "picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg",
 "given_name": "Test",
 "family_name": "User",
 "locale": "en"
}

Warning: Once you get these claims, you still need to check that the aud claim contains one of your app's client IDs. If it does, then the token is both valid and intended for your client, and you can safely retrieve and use the user's unique Google ID from the sub claim.

If you need to validate that the ID token represents a Google Workspace account, you can check the hd claim, which indicates the hosted domain of the user. This must be used when restricting access to a resource to only members of certain domains. The absence of this claim indicates that the account does not belong to a Google Workspace hosted domain.

Hesap veya oturum oluşturma

Jetonu doğruladıktan sonra, kullanıcının zaten kullanıcı veritabanınızda olup olmadığını kontrol edin. Bu durumda, kullanıcı için kimliği doğrulanmış bir oturum oluşturun. Kullanıcı henüz kullanıcı veritabanınızda değilse kimlik jetonu yükündeki bilgilerden yeni bir kullanıcı kaydı oluşturun ve kullanıcı için oturum oluşturun. Uygulamanızda yeni oluşturulmuş bir kullanıcı tespit ettiğinizde kullanıcıdan ihtiyaç duyduğunuz ek profil bilgilerini girmesini isteyebilirsiniz.

Hesaplar Arası Koruma ile kullanıcılarınızın hesaplarının güvenliğini sağlama

Bir kullanıcının oturum açması için Google'a bağlı olduğunuzda, Google'ın kullanıcı verilerini korumak için oluşturduğu tüm güvenlik özelliklerinden ve altyapıdan otomatik olarak yararlanırsınız. Ancak, çok düşük olasılıkla da olsa kullanıcının Google Hesabı güvenliği ihlal edilirse veya başka önemli güvenlik olayları söz konusuysa uygulamanız saldırıya açık olabilir. Hesaplarınızı büyük güvenlik olaylarına karşı daha iyi korumak için Google'dan güvenlik uyarıları almak üzere Hesaplar Arası Koruma'yı kullanın. Bu etkinlikleri aldığınızda kullanıcının Google Hesabı'nın güvenliğiyle ilgili önemli değişiklikleri görebilirsiniz. Ardından hesaplarınızın güvenliğini sağlamak için hizmetinizde işlem yapabilirsiniz.