本頁面由 Cloud Translation API 翻譯而成。

驗證來自 Google Chat 的要求

針對以 HTTP 端點建構的 Google Chat 應用程式，本節說明如何驗證端點的請求來自 Chat。

如何將互動事件分派到 Chat 應用程式的端點時，Google 會向您的服務發出要求。如何驗證要求來自 Google，Chat 也提供了不記名權杖加到 Authorization 標頭中。例如：

POST
Host: yourappurl.com
Authorization: Bearer AbCdEf123456
Content-Type: application/json
User-Agent: Google-Dynamite

上述範例的字串 AbCdEf123456 是不記名授權產生下一個符記這是由 Google 產生的加密權杖。不記名者的類型以及 audience 欄位取決於您在下列情況中選取的驗證目標對象類型：設定 Chat 應用程式。

如果您已使用 Cloud Functions 或 Cloud Run 實作 Chat 應用程式，Cloud IAM 會自動處理權杖驗證。您只需將 Google Chat 服務帳戶新增為授權叫用者即可。如果應用程式實作自己的 HTTP 伺服器，您可以使用開放原始碼 Google API 用戶端程式庫驗證權杖：

Java：https://github.com/google/google-api-java-client
Python：https://github.com/google/google-api-python-client
Node.js：https://github.com/google/google-api-nodejs-client
.NET：https://github.com/google/google-api-dotnet-client

如果權杖未驗證 Chat 應用程式，您的服務應以 HTTPS 回應碼 401 (Unauthorized) 回應要求。

使用 Cloud Functions 或 Cloud Run 驗證要求

如果您使用 Cloud Functions 或 Cloud Run 實作函式邏輯，請務必在 Chat 應用程式的連線設定中，於驗證對象欄位選取「HTTP 端點網址」，並確認設定中的 HTTP 端點網址與 Cloud Function 或 Cloud Run 端點的網址相符。

然後授權給 Google Chat 服務帳戶 chat@system.gserviceaccount.com 做為叫用者。

下列步驟說明如何使用 Cloud Functions (第 1 代)：

控制台

將函式部署至 Google Cloud 後：

前往 Google Cloud 控制台中的「Cloud Functions」頁面。

前往 Cloud Functions 頁面
在 Cloud Functions 清單中，勾選接收端旁的核取方塊函式。(請勿按一下函式本身)。
按一下畫面頂端的「權限」。「Permissions」面板會隨即開啟。
按一下「新增主體」。
在「New principals」(新增主體) 欄位中輸入 chat@system.gserviceaccount.com。
選取「Cloud Functions」角色 >Cloud Functions 叫用者，來自「請選取角色」下拉式選單。
按一下 [儲存]。

gcloud

使用 gcloud functions add-iam-policy-binding 指令：

gcloud functions add-iam-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:chat@system.gserviceaccount.com' \
  --role='roles/cloudfunctions.invoker'

將 RECEIVING_FUNCTION 替換為 Chat 應用程式的功能。

以下步驟說明如何使用 Cloud Functions (第 2 代) 或 Cloud Run 服務：

控制台

將函式或服務部署至 Google Cloud 之後：

前往 Google Cloud 控制台中的 Cloud Run 頁面：

前往 Cloud Run
在 Cloud Run 服務清單中，勾選接收端旁的核取方塊函式。(不要點選函式本身)。
按一下畫面頂端的「權限」。「Permissions」面板會隨即開啟。
按一下「新增主體」。
在「New principals」(新增主體) 欄位中輸入 chat@system.gserviceaccount.com。
選取「Cloud Run」角色 >Cloud Run 叫用者 「請選取角色」下拉式選單。
按一下 [儲存]。

gcloud

使用 gcloud functions add-invoker-policy-binding 指令：

gcloud functions add-invoker-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:chat@system.gserviceaccount.com'

將 RECEIVING_FUNCTION 替換為 Chat 應用程式的功能。

使用 ID 權杖驗證 HTTP 要求

如果 Chat 應用程式的連線設定中「Authentication Audience」欄位設為 HTTP 端點網址，要求中的憑證授權權杖就是 Google 簽署的 OpenID Connect (OIDC) ID 權杖。email 欄位已設為 chat@system.gserviceaccount.com。「Authentication Audience」欄位會設為您設定 Google Chat 傳送要求至 Chat 應用程式的網址。舉例來說，如果 Chat 應用程式的已設定端點為 https://example.com/app/，則 ID 權杖中的「Authentication Audience」欄位會是 https://example.com/app/。

下列範例說明如何驗證不記名權杖是由 Google Chat，並透過 Google OAuth 用戶端程式庫為應用程式指定目標對象。

Java

java/basic-app/src/main/java/com/google/chat/app/basic/App.java

前往 GitHub 查看

String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(new ApacheHttpTransport(), factory)
        .setAudience(Collections.singletonList(AUDIENCE))
        .build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.getPayload().getEmailVerified()
    && idToken.getPayload().getEmail().equals(CHAT_ISSUER);

Python

python/basic-app/main.py

前往 GitHub 查看

# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    token = id_token.verify_oauth2_token(bearer, request, AUDIENCE)
    return token['email'] == CHAT_ISSUER

except:
    return False

Node.js

node/basic-app/index.js

前往 GitHub 查看

// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by chatIssuer, intended for a third party.
try {
  const ticket = await client.verifyIdToken({
    idToken: bearer,
    audience: audience
  });
  return ticket.getPayload().email_verified
      && ticket.getPayload().email === chatIssuer;
} catch (unused) {
  return false;
}

使用專案編號 JWT 驗證要求

如果 Chat 應用程式的連線設定中「Authentication Audience」欄位設為 Project Number，則要求中的承載授權權杖為自行簽署的 JSON Web Token (JWT)，由 chat@system.gserviceaccount.com 簽發及簽署。audience 欄位會設為您使用的 Google Cloud 專案編號瞭解如何建構 Chat 應用程式舉例來說 Chat 應用程式的 Cloud 專案編號為 1234567890，然後 JWT 中的 audience 欄位為 1234567890。

下列範例說明如何驗證不記名權杖是由使用 Google OAuth 用戶端程式庫，在專案使用 Google Chat，並將目標對象設為目標。

Java

java/basic-app/src/main/java/com/google/chat/app/basic/App.java

前往 GitHub 查看

String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GooglePublicKeysManager keyManagerBuilder =
    new GooglePublicKeysManager.Builder(new ApacheHttpTransport(), factory)
        .setPublicCertsEncodedUrl(
            "https://www.googleapis.com/service_accounts/v1/metadata/x509/" + CHAT_ISSUER)
        .build();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(keyManagerBuilder).setIssuer(CHAT_ISSUER).build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.verifyAudience(Collections.singletonList(AUDIENCE))
    && idToken.verifyIssuer(CHAT_ISSUER);

Python

python/basic-app/main.py

前往 GitHub 查看

# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    certs_url = 'https://www.googleapis.com/service_accounts/v1/metadata/x509/' + CHAT_ISSUER
    token = id_token.verify_token(bearer, request, AUDIENCE, certs_url)
    return token['iss'] == CHAT_ISSUER

except:
    return False

Node.js

node/basic-app/index.js

前往 GitHub 查看

// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by CHAT_ISSUER, intended for a third party.
try {
  const response = await fetch('https://www.googleapis.com/service_accounts/v1/metadata/x509/' + chatIssuer);
  const certs = await response.json();
  await client.verifySignedJwtWithCertsAsync(
    bearer, certs, audience, [chatIssuer]);
  return true;
} catch (unused) {
  return false;
}

如需 Google Workspace 的驗證與授權簡介，看瞭解驗證和授權。
如需 Chat 驗證和授權的簡介，看驗證總覽。
使用使用者憑證或服務帳戶設定驗證和授權。

驗證來自 Google Chat 的要求

使用 Cloud Functions 或 Cloud Run 驗證要求

控制台

gcloud

控制台

gcloud

使用 ID 權杖驗證 HTTP 要求

Java

Python

Node.js

使用專案編號 JWT 驗證要求

Java

Python

Node.js

相關主題