الخادم في الخلفية. يمكن لتطبيق العميل المعدَّل إرسال أرقام تعريف مستخدمين عشوائية إلى
خادمك لانتحال هوية المستخدمين، لذا عليك بدلاً من ذلك استخدام الرموز المميزة التي يمكن التحقّق منها للحصول على
أرقام تعريف المستخدمين الذين سجّلوا الدخول بأمان من جهة الخادم. إرسال الرمز المميز لرقم التعريف إلى خادمك
بعد تسجيل دخول المستخدم بنجاح، يمكنك الحصول على رمز تعريف المستخدم باتّباع الخطوات التالية:
Swift
GIDSignIn . sharedInstance . signIn ( withPresenting : self ) { signInResult , error in
guard error == nil else { return }
guard let signInResult = signInResult else { return }
signInResult . user . refreshTokensIfNeeded { user , error in
guard error == nil else { return }
guard let user = user else { return }
let idToken = user . idToken
// Send ID token to backend (example below).
}
}
Objective-C
[ GIDSignIn . sharedInstance signInWithPresentingViewController : self
completion : ^ ( GIDSignInResult * _Nullable signInResult ,
NSError * _Nullable error ) {
if ( error ) { return ; }
if ( signInResult == nil ) { return ; }
[ signInResult . user refreshTokensIfNeededWithCompletion :^ ( GIDGoogleUser * _Nullable user ,
NSError * _Nullable error ) {
if ( error ) { return ; }
if ( user == nil ) { return ; }
NSString * idToken = user . idToken ;
// Send ID token to backend (example below).
}];
}];
بعد ذلك، أرسِل رمز التعريف إلى خادمك باستخدام طلب HTTPS POST:
Swift
func tokenSignInExample ( idToken : String ) {
guard let authData = try ? JSONEncoder (). encode ([ "idToken" : idToken ]) else {
return
}
let url = URL ( string : "https://yourbackend.example.com/tokensignin" ) !
var request = URLRequest ( url : url )
request . httpMethod = "POST"
request . setValue ( "application/json" , forHTTPHeaderField : "Content-Type" )
let task = URLSession . shared . uploadTask ( with : request , from : authData ) { data , response , error in
// Handle response from your backend.
}
task . resume ()
}
Objective-C
NSString * signinEndpoint = @"https://yourbackend.example.com/tokensignin" ;
NSDictionary * params = @{ @"idtoken" : idToken } ;
NSMutableURLRequest * request = [ NSMutableURLRequest requestWithURL : signinEndpoint ];
[ request setValue : @"application/x-www-form-urlencoded" forHTTPHeaderField : @"Content-Type" ];
[ request setHTTPMethod : @"POST" ];
[ request setHTTPBody : [ self httpBodyForParamsDictionary : params ]];
NSOperationQueue * queue = [[ NSOperationQueue alloc ] init ];
[ NSURLConnection sendAsynchronousRequest : request
queue : queue
completionHandler : ^ ( NSURLResponse * response , NSData * data , NSError * error ) {
if ( error ) {
NSLog ( @"Error: %@" , error . localizedDescription );
} else {
NSLog ( @"Signed in as %@" , data . bytes );
}
}];
التحقّق من سلامة رمز التعريف
بعد استلام رمز التعريف من خلال طلب POST عبر بروتوكول HTTPS، عليك التحقّق من سلامة
رمز التعريف.
للتحقّق من أنّ الرمز المميّز صالح، تأكَّد من استيفاء المعايير التالية:
تم توقيع الرمز المميّز للمعرّف بشكل صحيح من قِبل Google. استخدِم المفاتيح العامة من Google
(المتاحة بتنسيق
JWK أو
PEM )
للتحقّق من توقيع الرمز المميّز. ويتم تغيير هذه المفاتيح بانتظام، لذا عليك فحص عنوان Cache-Control في الرد لتحديد الوقت الذي يجب فيه استردادها مرة أخرى.
تكون قيمة aud في رمز التعريف مساوية لأحد معرّفات العملاء لتطبيقك. هذا التحقّق ضروري لمنع استخدام رموز التعريف المميزة التي تم إصدارها لتطبيق ضار في الوصول إلى بيانات المستخدم نفسه على خادم الخلفية الخاص بتطبيقك.
تكون قيمة iss في رمز التعريف مساوية accounts.google.com أو https://accounts.google.com.
لم يحلّ وقت انتهاء الصلاحية (exp) للرمز المميّز للمعرّف.
إذا كنت بحاجة إلى التأكّد من أنّ رمز التعريف المميّز يمثّل حساب مؤسسة على Google Workspace أو Cloud، يمكنك التحقّق من مطالبة hd التي تشير إلى النطاق المستضاف للمستخدم. يجب استخدام هذا الخيار عند حصر الوصول إلى أحد الموارد على أعضاء نطاقات معيّنة فقط. يشير عدم توفّر هذا الادعاء إلى أنّ الحساب لا ينتمي إلى نطاق مستضاف على Google.
باستخدام الحقول email وemail_verified وhd، يمكنك تحديد ما إذا كانت Google تستضيف عنوان بريد إلكتروني وتتحكّم فيه. في الحالات التي تكون فيها Google هي الجهة الموثوقة،
يكون المستخدم هو مالك الحساب الشرعي، ويمكنك تخطّي كلمة المرور أو طرق التحقّق الأخرى.
الحالات التي تكون فيها Google هي الجهة الموثوقة:
إذا كان عنوان البريد الإلكتروني ينتهي باللاحقة @gmail.com، فهذا يعني أنّه حساب Gmail.email
إذا كانت قيمة email_verified صحيحة وتم ضبط hd، يكون هذا حسابًا على Google Workspace.
يمكن للمستخدمين التسجيل للحصول على حسابات Google بدون استخدام Gmail أو Google Workspace. عندما لا يحتوي email على لاحقة @gmail.com ولا يتوفّر hd، لا تكون Google هي الجهة الموثوقة، ويُنصح باستخدام كلمة المرور أو طرق أخرى للتحقّق من هوية المستخدم. يمكن أن يكون email_verified صحيحًا أيضًا لأنّ Google تحقّقت في البداية من هوية المستخدم عند إنشاء حساب Google، ولكن قد تكون ملكية حساب البريد الإلكتروني التابع للجهة الخارجية قد تغيّرت منذ ذلك الحين.
بدلاً من كتابة الرمز الخاص بك لتنفيذ خطوات التحقّق هذه، ننصحك بشدة باستخدام مكتبة برامج Google API لمنصتك أو مكتبة JWT للأغراض العامة. لأغراض التطوير وتحديد المشاكل وحلّها، يمكنك طلب نقطة نهاية tokeninfoالتحقّق من صحة البيانات.
使用 Google API 客户端库
使用某个 Google API 客户端库 （例如
Java 、
Node.js 、
PHP 、
Python ）
是在生产环境中验证 Google ID 令牌的推荐方法。
<ph type="x-smartling-placeholder"></ph>
<ph type="x-smartling-placeholder"></ph>
要在 Java 中验证 ID 令牌，请使用
GoogleIdTokenVerifier 对象。例如：
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken ;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload ;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier ;
...
GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier . Builder ( transport , jsonFactory )
// Specify the WEB_CLIENT_ID of the app that accesses the backend:
. setAudience ( Collections . singletonList ( WEB_CLIENT_ID ))
// Or, if multiple clients access the backend:
//.setAudience(Arrays.asList(WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3))
. build ();
// (Receive idTokenString by HTTPS POST)
GoogleIdToken idToken = verifier . verify ( idTokenString );
if ( idToken != null ) {
Payload payload = idToken . getPayload ();
// Print user identifier. This ID is unique to each Google Account, making it suitable for
// use as a primary key during account lookup. Email is not a good choice because it can be
// changed by the user.
String userId = payload . getSubject ();
System . out . println ( "User ID: " + userId );
// Get profile information from payload
String email = payload . getEmail ();
boolean emailVerified = Boolean . valueOf ( payload . getEmailVerified ());
String name = ( String ) payload . get ( "name" );
String pictureUrl = ( String ) payload . get ( "picture" );
String locale = ( String ) payload . get ( "locale" );
String familyName = ( String ) payload . get ( "family_name" );
String givenName = ( String ) payload . get ( "given_name" );
// Use or store profile information
// ...
} else {
System . out . println ( "Invalid ID token." );
} GoogleIdTokenVerifier.verify() 方法验证 JWT
签名、aud 声明、iss 声明以及
exp 项版权主张。
如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud
组织账号，您可以通过检查域名来验证 hd 所有权声明
由 Payload.getHostedDomain() 方法返回。该
email 声明不足以保证账号是由网域管理
或组织。
。
<ph type="x-smartling-placeholder"></ph>
要在 Node.js 中验证 ID 令牌，请使用适用于 Node.js 的 Google Auth 库 。
安装该库：
npm install google-auth-library --save verifyIdToken() 函数。例如：
const { OAuth2Client } = require ( 'google-auth-library' );
const client = new OAuth2Client ();
async function verify () {
const ticket = await client . verifyIdToken ({
idToken : token ,
audience : WEB_CLIENT_ID , // Specify the WEB_CLIENT_ID of the app that accesses the backend
// Or, if multiple clients access the backend:
//[WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3]
});
const payload = ticket . getPayload ();
// This ID is unique to each Google Account, making it suitable for use as a primary key
// during account lookup. Email is not a good choice because it can be changed by the user.
const userid = payload [ 'sub' ];
// If the request specified a Google Workspace domain:
// const domain = payload['hd'];
}
verify (). catch ( console . error ); verifyIdToken 函数用于验证
JWT 签名、aud 声明、exp 声明
以及 iss 声明。
如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud
组织账号时，您可以查看 hd 声明，该声明表示托管的
用户的网域。将资源访问权限限制为仅允许成员访问时，必须使用此设置
特定网域的用户缺少此声明即表示该账号不属于
Google 托管的域。
。
<ph type="x-smartling-placeholder"></ph>
要在 PHP 中验证 ID 令牌，请使用适用于 PHP 的 Google API 客户端库 。
安装该库（例如，使用 Composer）：
composer require google/apiclient verifyIdToken() 函数。例如：
require_once 'vendor/autoload.php';
// Get $id_token via HTTPS POST.
$client = new Google_Client(['client_id' => $WEB_CLIENT_ID]); // Specify the WEB_CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
// This ID is unique to each Google Account, making it suitable for use as a primary key
// during account lookup. Email is not a good choice because it can be changed by the user.
$userid = $payload['sub'];
// If the request specified a Google Workspace domain
//$domain = $payload['hd'];
} else {
// Invalid ID token
} verifyIdToken 函数用于验证
JWT 签名、aud 声明、exp 声明
以及 iss 声明。
如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud
组织账号时，您可以查看 hd 声明，该声明表示托管的
用户的网域。将资源访问权限限制为仅允许成员访问时，必须使用此设置
特定网域的用户缺少此声明即表示该账号不属于
Google 托管的域。
。
<ph type="x-smartling-placeholder"></ph>
要在 Python 中验证 ID 令牌，请使用
verify_oauth2_token
函数。例如：
from google.oauth2 import id_token
from google.auth.transport import requests
# (Receive token by HTTPS POST)
# ...
try :
# Specify the WEB_CLIENT_ID of the app that accesses the backend:
idinfo = id_token . verify_oauth2_token ( token , requests . Request (), WEB_CLIENT_ID )
# Or, if multiple clients access the backend server:
# idinfo = id_token.verify_oauth2_token(token, requests.Request())
# if idinfo['aud'] not in [WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3]:
# raise ValueError('Could not verify audience.')
# If the request specified a Google Workspace domain
# if idinfo['hd'] != DOMAIN_NAME:
# raise ValueError('Wrong domain name.')
# ID token is valid. Get the user's Google Account ID from the decoded token.
# This ID is unique to each Google Account, making it suitable for use as a primary key
# during account lookup. Email is not a good choice because it can be changed by the user.
userid = idinfo [ 'sub' ]
except ValueError :
# Invalid token
pass verify_oauth2_token 函数验证 JWT
签名、aud 声明和 exp 声明。
您还必须验证 hd
检查
verify_oauth2_token 返回。如果多个客户端访问
后端服务器，另请手动验证 aud 声明。
调用 tokeninfo 端点
为调试 验证 ID 令牌签名的一种简单方法是
使用 tokeninfo 端点。调用此端点涉及
这个额外的网络请求会为您完成大部分的验证工作，
验证和载荷提取。不适合在生产环境中使用
因为请求可能会受到限制或出现间歇性错误。
如需使用 tokeninfo 端点验证 ID 令牌，请创建 HTTPS
POST 或 GET 请求发送到端点，并在
id_token 参数。
例如，要验证令牌“XYZ123”，请发出以下 GET 请求：
https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123
如果令牌经过正确签名，并且 iss 和 exp
具有预期值，就会收到 HTTP 200 响应，其中正文
包含 JSON 格式的 ID 令牌声明。
以下是示例响应：
{
// These six fields are included in all Google ID Tokens.
"iss": "https://accounts.google.com",
"sub": "110169484474386276334",
"azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
"aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
"iat": "1433978353",
"exp": "1433981953",
// These seven fields are only included when the user has granted the "profile" and
// "email" OAuth scopes to the application.
"email": "testuser@gmail.com",
"email_verified": "true",
"name" : "Test User",
"picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg",
"given_name": "Test",
"family_name": "User",
"locale": "en"
}
警告 ：收到这些版权主张后，你仍然需要
检查 aud 声明是否包含应用的某个客户端 ID。如果有，则
令牌对客户端有效并且专门用于您的客户端，您可以安全地检索和使用
用户在 sub 声明中的唯一 Google ID。如果您需要验证 ID 令牌是否代表 Google Workspace 账号，可以先查看
hd 声明，指示用户的托管网域。只有在以下情况下，
从而仅允许特定网域中的成员访问资源。缺少此声明
表示该账号不属于 Google Workspace 托管网域。
إنشاء حساب أو جلسة
بعد إثبات ملكية الرمز المميّز، تحقَّق مما إذا كان المستخدم ضمن حساب المستخدم.
قاعدة البيانات. إذا كان الأمر كذلك، يمكنك إنشاء جلسة مصادقة للمستخدم. إذا كان المستخدم
ليست في قاعدة بيانات المستخدم بعد، فقم بإنشاء سجل مستخدم جديد من خلال
في حمولة البيانات للرمز المميز للمعرّف، وإنشاء جلسة للمستخدم. يمكنك أن تطلب
من المستخدم تقديم أي معلومات إضافية مطلوبة عن الملف الشخصي عند رصد
مستخدم تم إنشاؤه حديثًا في تطبيقك.
تأمين حسابات المستخدمين حسابات تستخدم ميزة "الحماية العابرة للحساب"
عند الاعتماد على Google لتسجيل دخول أحد المستخدمين، ستستفيد تلقائيًا من كل
ميزات الأمان والبنية الأساسية التي أنشأتها Google لحماية بيانات المستخدم. ومع ذلك،
في حال اختراق حساب المستخدم في Google، وهو أمر مستبعد أو
حدثًا أمنيًا مهمًا، قد يكون تطبيقك أيضًا عُرضة للهجوم. لحماية حساباتك
بشكل أفضل من أي أحداث أمان كبيرة، استخدِم ميزة حماية
الحسابات على جميع الخدمات لتلقّي تنبيهات الأمان من Google. عند تلقّي هذه الأحداث،
يمكنك الاطّلاع على التغييرات المهمة في أمان حساب المستخدم على Google،
ويمكنك بعد ذلك اتّخاذ إجراء في خدمتك لتأمين حساباتك.