为服务器到服务器应用使用 OAuth 2.0

创建 JWT

JWT 由三个部分组成：标头、声明集和签名。标头和声明集是 JSON 对象。这些 JSON 对象会序列化为 UTF-8 字节，然后使用 Base64url 编码进行编码。这种编码可抵御因重复编码操作而导致的编码更改。标头、声明集和签名会使用句点 (.) 字符串联在一起。

JWT 的构成如下：

{Base64url encoded header}.{Base64url encoded claim set}.{Base64url encoded signature}

签名的字符串基础如下所示：

{Base64url encoded header}.{Base64url encoded claim set}

构成 JWT 标头

该标头由三个字段组成，分别表示签名算法、断言格式以及用于为 JWT 签名的 [服务账号密钥的密钥 ID](https://cloud.google.com/iam/docs/reference/rest/v1/projects.serviceAccounts.keys)。算法和格式是必需字段，每个字段只有一个值。随着我们引入更多算法和格式，此标头也会相应地发生变化。密钥 ID 是可选的，如果指定的密钥 ID 不正确，GCP 会尝试使用与服务账号关联的所有密钥来验证令牌，如果找不到有效的密钥，则会拒绝令牌。Google 保留日后拒绝密钥 ID 不正确的令牌的权利。

服务账号依赖于 RSA SHA-256 算法和 JWT 令牌格式。因此，标头的 JSON 表示法如下所示：

{"alg":"RS256","typ":"JWT", "kid":"370ab79b4513eb9bad7c9bd16a95cb76b5b2a56a"}

此字符串的 Base64url 表示如下：

          eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsICJraWQiOiIzNzBhYjc5YjQ1MTNlYjliYWQ3YzliZDE2YTk1Y2I3NmI1YjJhNTZhIn0=

构成 JWT 声明集

JWT 声明集包含有关 JWT 的信息，包括请求的权限（作用域）、令牌的目标、签发者、令牌的签发时间和令牌的有效期。大多数字段都是必填字段。与 JWT 标头一样，JWT 声明集也是一个 JSON 对象，用于计算签名。

必需声明

JWT 声明集中的必需声明如下所示。它们可以在声明集中按任意顺序显示。

JWT 声明集中必需字段的 JSON 表示法如下所示：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/devstorage.read_only",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

其他版权主张

在某些企业场景中，应用可以使用全网域授权代表组织中的特定用户执行操作。应用必须先获得执行此类冒充操作的权限，然后才能冒充用户，此类权限通常由超级用户处理。如需了解详情，请参阅使用全网域授权功能控制 API 访问权限。

如需获取用于向应用授予对资源的委托访问权限的访问令牌，请在 JWT 声明中添加用户的电子邮件地址，并将其设置为 sub 字段的值。

如果应用无权冒充用户，则对包含 sub 字段的访问令牌请求的响应将是错误。

下面显示了一个包含 sub 字段的 JWT 声明集示例：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "sub": "some.user@example.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

编码 JWT 声明集

与 JWT 标头一样，JWT 声明集应序列化为 UTF-8 和 Base64url 安全编码。以下是 JWT 声明集的 JSON 表示法示例：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

计算签名

JSON Web 签名 (JWS) 是指导为 JWT 生成签名的机制的规范。签名的输入是以下内容的字节数组：

{Base64url encoded header}.{Base64url encoded claim set}

计算签名时必须使用 JWT 标头中的签名算法。Google OAuth 2.0 授权服务器支持的唯一签名算法是使用 SHA-256 哈希算法的 RSA。这在 JWT 标头的 alg 字段中表示为 RS256。

使用从 Google API Console获取的私钥，通过 SHA256withRSA（也称为 RSASSA-PKCS1-V1_5-SIGN，使用 SHA-256 哈希函数）对输入内容的 UTF-8 表示法进行签名。输出将是一个字节数组。

然后，必须对签名进行 Base64url 编码。标头、声明集和签名会使用句点 (.) 字符串联在一起。结果就是 JWT。应如下所示（添加了换行符以使结构更加清晰）：

{Base64url encoded header}.
{Base64url encoded claim set}.
{Base64url encoded signature}

以下是未经 Base64url 编码的 JWT 示例：

{"alg":"RS256","typ":"JWT"}.
{
"iss":"761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
"scope":"https://www.googleapis.com/auth/prediction",
"aud":"https://oauth2.googleapis.com/token",
"exp":1328554385,
"iat":1328550785
}.
[signature bytes]

以下是已签名且可以传输的 JWT 示例：

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL29hdXRoMi92NC90b2tlbiIsImV4cCI6MTMyODU1NDM4NSwiaWF0IjoxMzI4NTUwNzg1fQ.UFUt59SUM2_AW4cRU8Y0BYVQsNTo4n7AFsNrqOpYiICDu37vVt-tw38UKzjmUKtcRsLLjrR3gFW3dNDMx_pL9DVjgVHDdYirtrCekUHOYoa1CMR66nxep5q5cBQ4y4u2kIgSvChCTc9pmLLNoIem-ruCecAJYgI9Ks7pTnW1gkOKs0x3YpiLpzplVHAkkHztaXiJdtpBcY1OXyo6jTQCa3Lk2Q3va1dPkh_d--GU2M5flgd8xNBPYw4vxyt0mP59XZlHMpztZt0soSgObf7G3GXArreF_6tpbFsS3z2t5zkEiHuWJXpzcYr5zWTRPDEHsejeBSG8EgpLDce2380ROQ

发出访问令牌请求

生成签名的 JWT 后，应用可以使用该令牌请求访问令牌。 此访问令牌请求是 HTTPS POST 请求，正文采用网址编码。网址如下所示：

https://oauth2.googleapis.com/token

HTTPS POST 请求中必须包含以下参数：

以下是访问令牌请求中使用的 HTTPS POST 请求的原始转储：

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.ixOUGehweEVX_UKXv5BbbwVEdcz6AYS-6uQV6fGorGKrHf3LIJnyREw9evE-gs2bmMaQI5_UbabvI4k-mQE4kBqtmSpTzxYBL1TCd7Kv5nTZoUC1CmwmWCFqT9RE6D7XSgPUh_jF1qskLa2w0rxMSjwruNKbysgRNctZPln7cqQ

下面是同一个请求，不过是使用 curl：

curl -d 'grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.RZVpzWygMLuL-n3GwjW1_yhQhrqDacyvaXkuf8HcJl8EtXYjGjMaW5oiM5cgAaIorrqgYlp4DPF_GuncFqg9uDZrx7pMmCZ_yHfxhSCXru3gbXrZvAIicNQZMFxrEEn4REVuq7DjkTMyCMGCY1dpMa8aWfTQFt3Eh7smLchaZsU
' https://oauth2.googleapis.com/token

处理响应

如果 JWT 和访问令牌请求的格式正确无误，并且服务账号有权执行操作，则授权服务器的 JSON 响应将包含访问令牌。以下是一个示例响应：

{
  "access_token": "1/8xbJqaOZXSUZbHLl5EOtu1pxz3fmmetKx9W8CV4t79M",
  "scope": "https://www.googleapis.com/auth/prediction"
  "token_type": "Bearer",
  "expires_in": 3600
}

访问令牌可以在 expires_in 值指定的有效期内重复使用。

访问令牌的过期时间

Google OAuth 2.0 授权服务器签发的访问令牌会在 expires_in 值提供的有效期过后过期。在访问令牌过期后，应用应生成另一个 JWT，对其进行签名，然后请求另一个访问令牌。