在服务器端验证 Google ID 令牌

Google 返回 ID 令牌后，会通过 HTTP POST 方法请求（参数名称为 credential）将其提交到您的登录端点。

以下是使用 Python 语言的示例，展示了验证和使用 ID 令牌的常规步骤：

验证跨站请求伪造 (CSRF) 令牌。当您向登录端点提交凭据时，我们会使用双重提交 Cookie 模式来防范 CSRF 攻击。在每次提交之前，我们都会生成一个令牌。然后，将令牌同时放入 Cookie 和 POST 正文，如以下代码示例所示：

csrf_token_cookie = self.request.cookies.get('g_csrf_token')
if not csrf_token_cookie:
    webapp2.abort(400, 'No CSRF token in Cookie.')
csrf_token_body = self.request.get('g_csrf_token')
if not csrf_token_body:
    webapp2.abort(400, 'No CSRF token in post body.')
if csrf_token_cookie != csrf_token_body:
    webapp2.abort(400, 'Failed to verify double submit cookie.')

验证 ID 令牌。

如需验证令牌是否有效，请确保：满足条件：
- ID 令牌已由 Google 正确签名。使用 Google 的公钥（适用于 JWK 或 PEM 格式）以验证令牌的签名。这些密钥会定期轮替：检查响应中的 Cache-Control 标头来确定何时您应该再次检索它们。
- ID 令牌中 aud 的值等于您应用的某个客户端 ID必须进行此检查，以防止向恶意应用用于访问应用的后端服务器上的同一用户的相关数据。
- ID 令牌中 iss 的值等于 accounts.google.com 或 https://accounts.google.com。
- ID 令牌的过期时间 (exp) 未过。
- 如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud 组织账号时，您可以查看 hd 声明，该声明表示托管的用户的网域。将资源访问权限限制为只有特定网域。缺少此声明即表示相应账号不属于 Google 托管的域名。
您可以使用 email、email_verified 和 hd 字段来确定 Google 负责托管电子邮件地址，并对其具有权威性。如果 Google 拥有权威性，该用户就是所知的合法账号所有者，您可以跳过密码或其他输入框验证方法。

Google 具有权威性的情形：
- email 的后缀为 @gmail.com，这是一个 Gmail 账号。
- email_verified 为 true 且 hd 已设置，这是 G Suite 账号。
用户无需使用 Gmail 或 G Suite 即可注册 Google 账号。时间 email 不包含 @gmail.com 后缀且 hd 不存在，Google 未建议使用权威凭据和密码或其他验证方法进行验证用户。email_verified 可能为 true，因为 Google 最初验证了创建 Google 账号后，该用户会拥有第三方的所有权，后，电子邮件账号可能已更改。

我们强烈建议不要自行编写代码来执行这些验证步骤，建议您使用适用于您平台的 Google API 客户端库， JWT 库。对于开发和调试，您可以调用我们的 tokeninfo 验证端点。

使用 Google API 客户端库

使用某个 Google API 客户端库（例如 Java、 Node.js、 PHP、 Python）是在生产环境中验证 Google ID 令牌的推荐方法。
<ph type="x-smartling-placeholder">
</ph> <ph type="x-smartling-placeholder">
</ph>
Java

要在 Java 中验证 ID 令牌，请使用 GoogleIdTokenVerifier 对象。例如：
```
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}
```
GoogleIdTokenVerifier.verify() 方法验证 JWT 签名、aud 声明、iss 声明以及 exp 项版权主张。

如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud 组织账号，您可以通过检查域名来验证 hd 所有权声明由 Payload.getHostedDomain() 方法返回。该 email 声明不足以保证账号是由网域管理或组织。
。 <ph type="x-smartling-placeholder">
</ph>
Node.js

要在 Node.js 中验证 ID 令牌，请使用适用于 Node.js 的 Google Auth 库。安装该库：
```
npm install google-auth-library --save
```
然后，调用 verifyIdToken() 函数。例如：
```
const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);
```
verifyIdToken 函数用于验证 JWT 签名、aud 声明、exp 声明以及 iss 声明。

如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud 组织账号时，您可以查看 hd 声明，该声明表示托管的用户的网域。将资源访问权限限制为仅允许成员访问时，必须使用此设置特定网域的用户缺少此声明即表示该账号不属于 Google 托管的域。
。 <ph type="x-smartling-placeholder">
</ph>
PHP

要在 PHP 中验证 ID 令牌，请使用适用于 PHP 的 Google API 客户端库。安装该库（例如，使用 Composer）：
```
composer require google/apiclient
```
然后，调用 verifyIdToken() 函数。例如：
```
require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}
```
verifyIdToken 函数用于验证 JWT 签名、aud 声明、exp 声明以及 iss 声明。

如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud 组织账号时，您可以查看 hd 声明，该声明表示托管的用户的网域。将资源访问权限限制为仅允许成员访问时，必须使用此设置特定网域的用户缺少此声明即表示该账号不属于 Google 托管的域。
。 <ph type="x-smartling-placeholder">
</ph>
Python

要在 Python 中验证 ID 令牌，请使用 verify_oauth2_token 函数。例如：
```
from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass
```
verify_oauth2_token 函数验证 JWT 签名、aud 声明和 exp 声明。您还必须验证 hd 检查 verify_oauth2_token 返回。如果多个客户端访问后端服务器，另请手动验证 aud 声明。
要点：ID 令牌会在 credential 字段中返回，而不是在 g_csrf_token 字段中。
确认令牌有效后，您可以使用 Google ID 令牌中的信息来关联您网站的账号状态：
- 未注册用户：您可以显示一个注册界面 (UI)，允许用户提供额外的个人资料信息（如果需要）。它还允许用户静默创建新账号和已登录的用户会话。
- 网站中已存在的现有账号：您可以显示一个网页，供最终用户输入其密码，并将旧账号与其 Google 凭据相关联。这将确认用户是否有权访问现有账号。
- 回访的联合用户：您可以静默登录用户。

在服务器端验证 Google ID 令牌

使用 Google API 客户端库