このページは Cloud Translation API によって翻訳されました。

バックエンドサーバーで認証する

バックエンドと通信するアプリやサイトで Google ログインを使用する場合現在ログインしているユーザーを特定する必要があります。これを安全に行うために、ユーザーがログインに成功したら、ユーザーの HTTPS を使用してサーバーに送信される ID トークン。次に、サーバーで整合性を検証し、トークンに含まれるユーザー情報を使用して、独自の ID トークンを新しいアカウントを作成することもできます。

警告: プレーンのユーザー ID は受け入れないでください。バックエンドで GoogleUser.getId() method で取得できるものなどあります。変更されたクライアントアプリケーションにより、任意のユーザー ID がなりすましを行うため、代わりに検証可能な ID トークンを使用して、ログインユーザーのユーザー ID をサーバーサイドで安全に取得します。

ID トークンをサーバーに送信する

ユーザーが正常にログインしたら、ユーザーの ID トークンを取得します。

function onSignIn(googleUser) {
  var id_token = googleUser.getAuthResponse().id_token;
  ...
}

次に、HTTPS POST リクエストで ID トークンをサーバーに送信します。

var xhr = new XMLHttpRequest();
xhr.open('POST', 'https://yourbackend.example.com/tokensignin');
xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
xhr.onload = function() {
  console.log('Signed in as: ' + xhr.responseText);
};
xhr.send('idtoken=' + id_token);

ID トークンの整合性を確認する

HTTPS POST で ID トークンを受信したら、完全性を検証する必要があります。渡されます。

如需验证令牌是否有效，请确保满足以下条件：

ID 令牌已由 Google 正确签名。使用 Google 的公钥（以 JWK 或 PEM 格式提供）验证令牌的签名。这些密钥会定期轮换；请检查响应中的 Cache-Control 标头，以确定何时应再次检索这些密钥。
ID 令牌中的 aud 值等于您应用的某个客户端 ID。此检查是必要的，可防止向恶意应用发放的 ID 令牌被用于访问您应用后端服务器上有关同一用户的数据。
ID 令牌中 iss 的值等于 accounts.google.com 或 https://accounts.google.com。
ID 令牌的到期时间 (exp) 尚未到期。
如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud 组织账号，可以检查 hd 声明，该声明表示用户的托管网域。如果需要将对资源的访问权限限制为仅限特定网域的成员，则必须使用此方法。如果缺少此声明，则表示相应账号不属于 Google 托管网域。

通过使用 email、email_verified 和 hd 字段，您可以确定 Google 是否托管某个电子邮件地址并对其具有权威性。如果 Google 是权威方，则表示用户是合法的账号所有者，您可以跳过密码或其他身份验证方法。

Google 具有权威性的情况：

email 带有 @gmail.com 后缀，则表示这是 Gmail 账号。
email_verified 为 true 且设置了 hd，则为 Google Workspace 账号。

用户可以注册 Google 账号，而无需使用 Gmail 或 Google Workspace。如果 email 不包含 @gmail.com 后缀且 hd 不存在，则 Google 不具有权威性，建议使用密码或其他质询方法来验证用户身份。email_verified 也可能为 true，因为 Google 最初在创建 Google 账号时验证了用户身份，但第三方电子邮件账号的所有权可能已发生变化。

我们强烈建议您使用适用于您平台的 Google API 客户端库或通用 JWT 库，而不是自行编写代码来执行这些验证步骤。对于开发和调试，您可以调用我们的 tokeninfo 验证端点。

Google API クライアントライブラリの使用

Google API クライアントライブラリのいずれか（ Java、 Node.js、 PHP、 Python など）は、本番環境で Google ID トークンを検証する場合におすすめの方法です。

</ph> <ph type="x-smartling-placeholder">

</ph>

Java

Java で ID トークンを検証するには、 GoogleIdTokenVerifier オブジェクトです。例:

import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the WEB_CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(WEB_CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

GoogleIdTokenVerifier.verify() メソッドで JWT を検証する署名、aud クレーム、iss クレーム、 exp の申し立て。

ID トークンが Google Workspace または Cloud 組織アカウントの場合は、ドメイン名を確認することで hd クレームを確認できます。 Payload.getHostedDomain() メソッドが返す値。ドメインのアカウントがドメインによって管理されていることを確認するには email 申請では不十分ですできます。

で確認できます。 <ph type="x-smartling-placeholder">

</ph>

Node.js

Node.js で ID トークンを検証するには、Node.js 用 Google 認証ライブラリを使用します。ライブラリをインストールします。

npm install google-auth-library --save

次に、verifyIdToken() 関数を呼び出します。例:

const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: WEB_CLIENT_ID,  // Specify the WEB_CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

verifyIdToken 関数は、以下を確認します。 JWT 署名、aud クレーム、exp クレーム、 iss クレーム。

ID トークンが Google Workspace または Cloud 組織アカウントの場合は、hd クレームを確認できます。これは、ホストされている Pod がユーザーのドメインです。これは、リソースへのアクセスをメンバーのみに制限する場合に使用します特定のドメインのこの申し立てがない場合は、アカウントが Google がホストするドメインです。

で確認できます。 <ph type="x-smartling-placeholder">

</ph>

PHP

PHP で ID トークンを検証するには、PHP 用の Google API クライアントライブラリを使用します。ライブラリをインストールします（Composer を使用するなど）。

composer require google/apiclient

次に、verifyIdToken() 関数を呼び出します。例:

require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $WEB_CLIENT_ID]);  // Specify the WEB_CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

verifyIdToken 関数は、以下を確認します。 JWT 署名、aud クレーム、exp クレーム、 iss クレーム。

で確認できます。 <ph type="x-smartling-placeholder">

</ph>

Python

Python で ID トークンを検証するには、 verify_oauth2_token 使用します。例:

from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the WEB_CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), WEB_CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

verify_oauth2_token 関数で JWT を検証する aud クレーム、exp クレームの 3 つが存在します。 hd も確認する必要があります（該当する場合は）そのオブジェクトを調べ、 verify_oauth2_token が返品可能。複数のクライアントが aud クレームも手動で検証します。

调用 tokeninfo 端点

为调试验证 ID 令牌签名的一种简单方法是使用 tokeninfo 端点。调用此端点涉及这个额外的网络请求会为您完成大部分的验证工作，验证和载荷提取。不适合在生产环境中使用因为请求可能会受到限制或出现间歇性错误。

如需使用 tokeninfo 端点验证 ID 令牌，请创建 HTTPS POST 或 GET 请求发送到端点，并在 id_token 参数。例如，要验证令牌“XYZ123”，请发出以下 GET 请求：

https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123

如果令牌经过正确签名，并且 iss 和 exp 具有预期值，就会收到 HTTP 200 响应，其中正文包含 JSON 格式的 ID 令牌声明。以下是示例响应：

{
 // These six fields are included in all Google ID Tokens.
 "iss": "https://accounts.google.com",
 "sub": "110169484474386276334",
 "azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "iat": "1433978353",
 "exp": "1433981953",

 // These seven fields are only included when the user has granted the "profile" and
 // "email" OAuth scopes to the application.
 "email": "testuser@gmail.com",
 "email_verified": "true",
 "name" : "Test User",
 "picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg",
 "given_name": "Test",
 "family_name": "User",
 "locale": "en"
}

警告：收到这些版权主张后，你仍然需要检查 aud 声明是否包含应用的某个客户端 ID。如果有，则令牌对客户端有效并且专门用于您的客户端，您可以安全地检索和使用用户在 sub 声明中的唯一 Google ID。

如果您需要验证 ID 令牌是否代表 Google Workspace 账号，可以先查看 hd 声明，指示用户的托管网域。只有在以下情况下，从而仅允许特定网域中的成员访问资源。缺少此声明表示该账号不属于 Google Workspace 托管网域。

アカウントまたはセッションを作成する

トークンを確認したら、ユーザーがすでにユーザーに含まれているかどうかを確認するデータベースですその場合は、ユーザーの認証済みセッションを確立します。ユーザーがまだユーザーデータベースにない場合は、情報から新しいユーザーレコードを作成します。を ID トークンペイロード内で指定し、ユーザーのセッションを確立します。このプロンプトを追加のプロファイル情報をユーザーに送信するには、ユーザーを追加します。

ユーザーの安全をクロスアカウント保護機能が有効なアカウント

ユーザーのログインを Google に任せると、自動的にユーザーのデータを保護するために Google が構築したセキュリティ機能とインフラストラクチャです。ただし、万一、ユーザーの Google アカウントが不正使用された場合や、重大なセキュリティイベントが発生した場合、アプリは攻撃に対して脆弱になる可能性もあります。お客様のデータを使用する必要がある場合は、クロスアカウントを使用して保護: Google からセキュリティ通知を受け取れます。これらのイベントを受信すると、ユーザーの Google アカウントのセキュリティに関する重要な変更に対する可視性を得る。アカウントを保護するための措置を講じることができます。

バックエンド サーバーで認証する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

ID トークンをサーバーに送信する

ID トークンの整合性を確認する

Google API クライアント ライブラリの使用

调用 tokeninfo 端点

アカウントまたはセッションを作成する

ユーザーの安全をクロスアカウント保護機能が有効なアカウント

バックエンドサーバーで認証する

Google API クライアントライブラリの使用