为服务器到服务器应用使用 OAuth 2.0

创建 JWT

JWT 由三部分组成：标头、声明集和 签名。标头和声明集是 JSON 对象。系统会将这些 JSON 对象序列化 UTF-8 字节，然后使用 Base64url 编码进行编码。这种编码能够提供 避免因重复编码操作而导致的编码变化。标头、声明集和 签名通过句点 (.) 字符串联在一起。

JWT 的组成如下：

{Base64url encoded header}.{Base64url encoded claim set}.{Base64url encoded signature}

签名的基本字符串如下所示：

{Base64url encoded header}.{Base64url encoded claim set}

构建 JWT 标头

标头包含三个字段，用于表示签名算法、 该断言和 [服务账号的密钥 ID] key](https://cloud.google.com/iam/docs/reference/rest/v1/projects.serviceAccounts.keys) 签名 JWT。算法和格式是必填项，每个字段只有 一个值。此标题会随着更多算法和格式的引入而发生变化 。密钥 ID 是可选的，如果指定的密钥 ID 不正确，GCP 将尝试 与服务账号关联的所有密钥，以验证令牌并拒绝令牌（如果 未找到有效密钥。Google 保留拒绝密钥 ID 不正确的令牌的权利 。

服务账号依赖于 RSA SHA-256 算法和 JWT 令牌格式。因此 标头的 JSON 表示法如下所示：

{"alg":"RS256","typ":"JWT", "kid":"370ab79b4513eb9bad7c9bd16a95cb76b5b2a56a"}

其 Base64url 表示形式如下所示：

          eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsICJraWQiOiIzNzBhYjc5YjQ1MTNlYjliYWQ3YzliZDE2YTk1Y2I3NmI1YjJhNTZhIn0=

构建 JWT 声明集

JWT 声明集包含 JWT 的相关信息，包括 请求（范围）、令牌的目标、颁发者、令牌颁发的时间 以及令牌的生命周期大部分字段是必填字段。与 JWT 标头一样， JWT 声明集是一个 JSON 对象，用于计算签名。

必需的声明

JWT 声明集中的必需声明如下所示。它们可能会以任意顺序展示 声明集。

JWT 声明集中必填字段的 JSON 表示法如下所示：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/devstorage.read_only",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

其他版权主张

在某些企业情况下，应用可以使用全网域授权功能来代表操作 组织中特定用户的身份。执行此类假冒行为的权限 必须先获得权限，然后应用才能模拟用户，通常由 超级用户。如需了解详情，请参阅 使用全网域授权功能控制 API 访问权限。

要获取访问令牌以向委托应用授予对某项资源的访问权限， 在 JWT 声明中包含用户的电子邮件地址，并将其设置为 sub 字段。

如果应用程序无权模拟用户，则对 包含 sub 字段的访问令牌请求将是 错误。

显示包含 sub 字段的 JWT 声明集示例 如下：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "sub": "some.user@example.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

对 JWT 声明集进行编码

与 JWT 标头一样，JWT 声明集应序列化为 UTF-8 和 Base64url-safe 编码。以下是 JWT 声明集的 JSON 表示法示例：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

计算签名

JSON 网络签名 (JWS) 是一套规范，用于指导 JWT。签名的输入是以下内容的字节数组：

{Base64url encoded header}.{Base64url encoded claim set}

计算签名时，必须使用 JWT 标头中的签名算法。通过 只有 Google OAuth 2.0 授权服务器支持的签名算法是 SHA-256 哈希算法。它在 alg 中以 RS256 表示， 字段。

使用 SHA256withRSA（也称为 具有 SHA-256 哈希函数的 RSASSA-PKCS1-V1_5-SIGN）使用从 Google API Console。输出将是一个字节数组。

然后，必须对签名进行 Base64url 编码。标头、声明集和签名 使用句点 (.) 字符串联在一起。最终生成 JWT。它 应如下所示（为清楚起见，添加了换行符）：

{Base64url encoded header}.
{Base64url encoded claim set}.
{Base64url encoded signature}

下面是未进行 Base64url 编码的 JWT 示例：

{"alg":"RS256","typ":"JWT"}.
{
"iss":"761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
"scope":"https://www.googleapis.com/auth/prediction",
"aud":"https://oauth2.googleapis.com/token",
"exp":1328554385,
"iat":1328550785
}.
[signature bytes]

以下是已签名并准备好传输的 JWT 示例：

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL29hdXRoMi92NC90b2tlbiIsImV4cCI6MTMyODU1NDM4NSwiaWF0IjoxMzI4NTUwNzg1fQ.UFUt59SUM2_AW4cRU8Y0BYVQsNTo4n7AFsNrqOpYiICDu37vVt-tw38UKzjmUKtcRsLLjrR3gFW3dNDMx_pL9DVjgVHDdYirtrCekUHOYoa1CMR66nxep5q5cBQ4y4u2kIgSvChCTc9pmLLNoIem-ruCecAJYgI9Ks7pTnW1gkOKs0x3YpiLpzplVHAkkHztaXiJdtpBcY1OXyo6jTQCa3Lk2Q3va1dPkh_d--GU2M5flgd8xNBPYw4vxyt0mP59XZlHMpztZt0soSgObf7G3GXArreF_6tpbFsS3z2t5zkEiHuWJXpzcYr5zWTRPDEHsejeBSG8EgpLDce2380ROQ

发出访问令牌请求

在生成带签名的 JWT 后，应用可使用它来请求访问令牌。 此访问令牌请求是一个 HTTPS POST 请求，正文为 网址 编码。网址如下所示：

https://oauth2.googleapis.com/token

HTTPS POST 请求中需要以下参数：

以下是访问令牌中使用的 HTTPS POST 请求的原始转储 请求：

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.ixOUGehweEVX_UKXv5BbbwVEdcz6AYS-6uQV6fGorGKrHf3LIJnyREw9evE-gs2bmMaQI5_UbabvI4k-mQE4kBqtmSpTzxYBL1TCd7Kv5nTZoUC1CmwmWCFqT9RE6D7XSgPUh_jF1qskLa2w0rxMSjwruNKbysgRNctZPln7cqQ

以下是同一个请求，使用 curl：

curl -d 'grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.RZVpzWygMLuL-n3GwjW1_yhQhrqDacyvaXkuf8HcJl8EtXYjGjMaW5oiM5cgAaIorrqgYlp4DPF_GuncFqg9uDZrx7pMmCZ_yHfxhSCXru3gbXrZvAIicNQZMFxrEEn4REVuq7DjkTMyCMGCY1dpMa8aWfTQFt3Eh7smLchaZsU
' https://oauth2.googleapis.com/token

处理响应

如果 JWT 和访问令牌请求的格式正确，且服务账号 执行该操作的权限，以及来自授权服务器的 JSON 响应 包含访问令牌以下是一个示例响应：

{
  "access_token": "1/8xbJqaOZXSUZbHLl5EOtu1pxz3fmmetKx9W8CV4t79M",
  "scope": "https://www.googleapis.com/auth/prediction"
  "token_type": "Bearer",
  "expires_in": 3600
}

访问令牌可在指定的持续时间内重复使用 expires_in 值。

访问令牌过期时间

Google OAuth 2.0 授权服务器发放的访问令牌在此时间段过后过期 由 expires_in 值提供。访问令牌过期后， 应用应生成另一个 JWT，对其进行签名，并请求另一个访问令牌。