이 페이지는 Cloud Translation API를 통해 번역되었습니다.

서버 측에서 Google ID 토큰 확인

Google에서 ID 토큰을 반환하면 HTTP POST 메서드 요청에 의해 매개변수 이름 credential와 함께 로그인 엔드포인트에 제출됩니다.

다음은 ID 토큰을 검증하고 사용하는 일반적인 단계를 보여주는 Python 언어의 예입니다.

교차 사이트 요청 위조 (CSRF) 토큰을 확인합니다. 로그인 엔드포인트에 사용자 인증 정보를 제출하면 CSRF 공격을 방지하기 위해 double-submit-cookie 패턴이 사용됩니다. 제출할 때마다 토큰이 생성됩니다. 그런 다음 다음 코드 예와 같이 토큰이 쿠키와 게시물 본문 모두에 배치됩니다.

csrf_token_cookie = self.request.cookies.get('g_csrf_token')
if not csrf_token_cookie:
    webapp2.abort(400, 'No CSRF token in Cookie.')
csrf_token_body = self.request.get('g_csrf_token')
if not csrf_token_body:
    webapp2.abort(400, 'No CSRF token in post body.')
if csrf_token_cookie != csrf_token_body:
    webapp2.abort(400, 'Failed to verify double submit cookie.')

ID 토큰을 확인합니다.

토큰이 유효한지 확인하려면 다음 기준을 충족해야 합니다.
- ID 토큰이 Google에서 올바르게 서명되었습니다. Google의 공개 키(JWK 또는 PEM 형식으로 제공)를 사용하여 토큰의 서명을 확인합니다. 이러한 키는 정기적으로 순환됩니다. 응답의 Cache-Control 헤더를 검사하여 다시 가져와야 하는 시점을 확인하세요.
- ID 토큰의 aud 값이 앱의 클라이언트 ID 중 하나와 같습니다. 이 확인은 악성 앱에 발급된 ID 토큰이 앱의 백엔드 서버에서 동일한 사용자에 관한 데이터에 액세스하는 데 사용되지 않도록 하는 데 필요합니다.
- ID 토큰의 iss 값은 accounts.google.com 또는 https://accounts.google.com와 같습니다.
- ID 토큰의 만료 시간 (exp)이 지나지 않았습니다.
- ID 토큰이 Google Workspace 또는 Cloud 조직 계정을 나타내는지 확인해야 하는 경우 사용자의 호스팅 도메인을 나타내는 hd 클레임을 확인할 수 있습니다. 특정 도메인의 구성원에게만 리소스 액세스를 제한할 때 사용해야 합니다. 이 클레임이 없으면 계정이 Google 호스팅 도메인에 속하지 않음을 나타냅니다.
email, email_verified, hd 필드를 사용하여 Google에서 이메일 주소를 호스팅하고 이메일 주소에 대한 권한이 있는지 확인할 수 있습니다. Google이 권한이 있는 경우 사용자가 합법적인 계정 소유자로 알려져 있으므로 비밀번호 또는 기타 챌린지 방법을 건너뛸 수 있습니다.

Google이 권위자인 경우:
- email에 @gmail.com 접미사가 있는 경우 Gmail 계정입니다.
- email_verified이 true이고 hd이 설정된 경우 Google Workspace 계정입니다.
사용자는 Gmail 또는 Google Workspace를 사용하지 않고도 Google 계정에 등록할 수 있습니다. email에 @gmail.com 접미사가 포함되지 않고 hd이 없는 경우 Google은 권위가 없으며 비밀번호 또는 기타 챌린지 방법을 사용하여 사용자를 인증하는 것이 좋습니다. Google 계정이 생성될 때 Google에서 사용자를 처음 인증했으므로 email_verified가 true일 수도 있지만, 이후 서드 파티 이메일 계정의 소유권이 변경되었을 수 있습니다.

이러한 확인 단계를 실행하는 코드를 직접 작성하는 대신 플랫폼용 Google API 클라이언트 라이브러리 또는 범용 JWT 라이브러리를 사용하는 것이 좋습니다. 개발 및 디버깅을 위해 tokeninfo 검증 엔드포인트를 호출할 수 있습니다.

Google API 클라이언트 라이브러리 사용

Google API 클라이언트 라이브러리 중 하나 (예: 자바, Node.js PHP Python) 프로덕션 환경에서 Google ID 토큰의 유효성을 검사하는 데 권장되는 방법입니다.
<ph type="x-smartling-placeholder">
</ph> <ph type="x-smartling-placeholder">
</ph>
자바

Java에서 ID 토큰의 유효성을 검사하려면 GoogleIdTokenVerifier 객체에 대한 호출을 확인할 수 있습니다. 예를 들면 다음과 같습니다.
```
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the WEB_CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(WEB_CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}
```
GoogleIdTokenVerifier.verify() 메서드가 JWT를 확인합니다. 서명, aud 클레임, iss 클레임 및 exp 소유권 주장.

ID 토큰이 Google Workspace 또는 Cloud를 나타내는지 확인해야 하는 경우 조직 계정의 경우 도메인 이름을 확인하여 hd 소유권 주장을 확인할 수 있습니다. Payload.getHostedDomain() 메서드에서 반환됩니다. 소유권 주장 email건이 계정을 도메인에서 관리하기에 충분하지 않습니다. 또는 조직이나 그 안에서 활용할 수 있습니다.
를 통해 개인정보처리방침을 정의할 수 있습니다. <ph type="x-smartling-placeholder">
</ph>
Node.js

Node.js에서 ID 토큰을 검증하려면 Node.js용 Google 인증 라이브러리를 사용하세요. 라이브러리를 설치합니다.
```
npm install google-auth-library --save
```
드림 그런 다음 verifyIdToken() 함수를 호출합니다. 예를 들면 다음과 같습니다.
```
const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: WEB_CLIENT_ID,  // Specify the WEB_CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);
```
verifyIdToken 함수는 JWT 서명, aud 클레임, exp 클레임 및 iss 클레임.

ID 토큰이 Google Workspace 또는 Cloud를 나타내는지 확인해야 하는 경우 조직 계정에 대한 hd 클레임을 확인하면 사용자 도메인입니다. 리소스에 대한 액세스 권한을 구성원으로만 제한할 때 사용해야 합니다. 특정 도메인의 사용자를 관리할 수 있습니다 이 소유권 주장이 없으면 계정이 다음 항목에 속하지 않음을 나타냅니다. Google에서 호스팅하는 도메인일 수 있습니다
를 통해 개인정보처리방침을 정의할 수 있습니다. <ph type="x-smartling-placeholder">
</ph>
PHP

PHP에서 ID 토큰의 유효성을 검사하려면 PHP용 Google API 클라이언트 라이브러리를 사용합니다. 라이브러리를 설치합니다 (예: Composer 사용).
```
composer require google/apiclient
```
드림 그런 다음 verifyIdToken() 함수를 호출합니다. 예를 들면 다음과 같습니다.
```
require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $WEB_CLIENT_ID]);  // Specify the WEB_CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}
```
verifyIdToken 함수는 JWT 서명, aud 클레임, exp 클레임 및 iss 클레임.

ID 토큰이 Google Workspace 또는 Cloud를 나타내는지 확인해야 하는 경우 조직 계정에 대한 hd 클레임을 확인하면 사용자 도메인입니다. 리소스에 대한 액세스 권한을 구성원으로만 제한할 때 사용해야 합니다. 특정 도메인의 사용자를 관리할 수 있습니다 이 소유권 주장이 없으면 계정이 다음 항목에 속하지 않음을 나타냅니다. Google에서 호스팅하는 도메인일 수 있습니다
를 통해 개인정보처리방침을 정의할 수 있습니다. <ph type="x-smartling-placeholder">
</ph>
Python

Python에서 ID 토큰의 유효성을 검사하려면 verify_oauth2_token 함수를 사용하세요. 예를 들면 다음과 같습니다.
```
from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the WEB_CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), WEB_CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass
```
verify_oauth2_token 함수가 JWT 확인 서명, aud 클레임, exp 클레임 hd도 확인해야 합니다. 배상 청구 (해당되는 경우)를 verify_oauth2_token가 반환됩니다. 여러 클라이언트가 백엔드 서버에서 aud 클레임을 수동으로 확인합니다.
핵심사항: ID 토큰은 g_csrf_token 필드 대신 credential 필드에 반환됩니다.
토큰의 유효성이 확인되면 Google ID 토큰의 정보를 사용하여 사이트의 계정 상태를 연결할 수 있습니다.
- 등록되지 않은 사용자: 필요한 경우 사용자가 프로필 정보를 추가로 제공할 수 있는 가입 사용자 인터페이스(UI)를 표시할 수 있습니다. 또한 사용자가 새 계정과 로그인한 사용자 세션을 자동으로 만들 수 있습니다.
- 사이트에 이미 있는 기존 계정: 최종 사용자가 비밀번호를 입력하고 기존 계정을 Google 사용자 인증 정보와 연결할 수 있는 웹페이지를 표시할 수 있습니다. 이렇게 하면 사용자가 기존 계정에 액세스할 수 있는지 확인할 수 있습니다.
- 재방문하는 제휴 사용자: 사용자를 자동으로 로그인할 수 있습니다.

서버 측에서 Google ID 토큰 확인 컬렉션을 사용해 정리하기 내 환경설정을 기준으로 콘텐츠를 저장하고 분류하세요.

Google API 클라이언트 라이브러리 사용

서버 측에서 Google ID 토큰 확인