透過後端伺服器驗證

如果您使用 Google 登入與與後端通訊的應用程式或網站您可能需要在伺服器上找出目前登入的使用者。為了安全執行這項作業，請在使用者成功登入後，將 ID 權杖傳送至您的伺服器接著，在伺服器上驗證完整性並使用權杖內的使用者資訊建立建立工作階段或建立新帳戶。

警告：請勿接受純粹的使用者 ID、例如可在後端使用 GoogleUser.getId() method 取得的內容伺服器經過修改的用戶端應用程式可以將任意 User-ID 傳送到您的以便模擬使用者，因此您必須改用可驗證的 ID 權杖在伺服器端安全地取得已登入使用者的 User-ID。

將 ID 權杖傳送至伺服器

使用者成功登入後，取得使用者的 ID 權杖：

function onSignIn(googleUser) {
  var id_token = googleUser.getAuthResponse().id_token;
  ...
}

然後，使用 HTTPS POST 要求將 ID 權杖傳送至伺服器：

var xhr = new XMLHttpRequest();
xhr.open('POST', 'https://yourbackend.example.com/tokensignin');
xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
xhr.onload = function() {
  console.log('Signed in as: ' + xhr.responseText);
};
xhr.send('idtoken=' + id_token);

驗證 ID 權杖的完整性

透過 HTTPS POST 收到 ID 權杖後，必須驗證完整性符記

如要驗證權杖是否有效，請確認符合下列條件：

ID 權杖已由 Google 正確簽署。使用 Google 的公開金鑰 (提供 JWK 或 PEM 格式)，驗證權杖的簽名。這些金鑰會定期輪替，請檢查回應中的 Cache-Control 標頭，判斷何時應再次擷取金鑰。
ID 權杖中的 aud 值等於應用程式的其中一個用戶端 ID。這項檢查是必要的，可防止惡意應用程式使用發給該應用程式的 ID 權杖，存取您應用程式後端伺服器上同一位使用者的資料。
ID 權杖中的 iss 值等於 accounts.google.com 或 https://accounts.google.com。
ID 權杖的到期時間 (exp) 尚未到期。
如要驗證 ID 權杖是否代表 Google Workspace 或 Cloud 機構帳戶，可以檢查 hd 聲明，其中會指出使用者的代管網域。如要限制只有特定網域的成員可以存取資源，就必須使用這項設定。如果沒有這項聲明，表示帳戶不屬於 Google 代管網域。

使用 email、email_verified 和 hd 欄位，即可判斷 Google 是否代管電子郵件地址，以及是否為該地址的授權主機。如果 Google 是授權機構，且使用者是已知的合法帳戶擁有者，您可以略過密碼或其他驗證方法。

Google 是權威來源的情況：

email 結尾，這就是 Gmail 帳戶。@gmail.com
為 true 且 hd 已設定，則為 Google Workspace 帳戶。email_verified

使用者可以註冊 Google 帳戶，不必使用 Gmail 或 Google Workspace。如果 email 不含 @gmail.com 後置字串，且沒有 hd，Google 就不是授權機構，建議使用密碼或其他驗證方法來驗證使用者。email_verified 也可能成立，因為 Google 最初是在建立 Google 帳戶時驗證使用者，但第三方電子郵件帳戶的擁有權可能已變更。

強烈建議您使用適用於平台的 Google API 用戶端程式庫，或一般用途的 JWT 程式庫，而不要自行編寫程式碼來執行這些驗證步驟。如要進行開發和偵錯，可以呼叫我們的tokeninfo驗證端點。

使用 Google API 客户端库

使用某个 Google API 客户端库（例如 Java、 Node.js、 PHP、 Python）是在生产环境中验证 Google ID 令牌的推荐方法。

</ph> <ph type="x-smartling-placeholder">

</ph>

Java

要在 Java 中验证 ID 令牌，请使用 GoogleIdTokenVerifier 对象。例如：

import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the WEB_CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(WEB_CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier. This ID is unique to each Google Account, making it suitable for
  // use as a primary key during account lookup. Email is not a good choice because it can be
  // changed by the user.
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

GoogleIdTokenVerifier.verify() 方法验证 JWT 签名、aud 声明、iss 声明以及 exp 项版权主张。

如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud 组织账号，您可以通过检查域名来验证 hd 所有权声明由 Payload.getHostedDomain() 方法返回。该 email 声明不足以保证账号是由网域管理或组织。

。 <ph type="x-smartling-placeholder">

</ph>

Node.js

要在 Node.js 中验证 ID 令牌，请使用适用于 Node.js 的 Google Auth 库。安装该库：

npm install google-auth-library --save

然后，调用 verifyIdToken() 函数。例如：

const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: WEB_CLIENT_ID,  // Specify the WEB_CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  // This ID is unique to each Google Account, making it suitable for use as a primary key
  // during account lookup. Email is not a good choice because it can be changed by the user.
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

verifyIdToken 函数用于验证 JWT 签名、aud 声明、exp 声明以及 iss 声明。

如果您需要验证 ID 令牌是否代表 Google Workspace 或 Cloud 组织账号时，您可以查看 hd 声明，该声明表示托管的用户的网域。将资源访问权限限制为仅允许成员访问时，必须使用此设置特定网域的用户缺少此声明即表示该账号不属于 Google 托管的域。

。 <ph type="x-smartling-placeholder">

</ph>

PHP

要在 PHP 中验证 ID 令牌，请使用适用于 PHP 的 Google API 客户端库。安装该库（例如，使用 Composer）：

composer require google/apiclient

然后，调用 verifyIdToken() 函数。例如：

require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $WEB_CLIENT_ID]);  // Specify the WEB_CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  // This ID is unique to each Google Account, making it suitable for use as a primary key
  // during account lookup. Email is not a good choice because it can be changed by the user.
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

verifyIdToken 函数用于验证 JWT 签名、aud 声明、exp 声明以及 iss 声明。

。 <ph type="x-smartling-placeholder">

</ph>

Python

要在 Python 中验证 ID 令牌，请使用 verify_oauth2_token 函数。例如：

from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the WEB_CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), WEB_CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    # This ID is unique to each Google Account, making it suitable for use as a primary key
    # during account lookup. Email is not a good choice because it can be changed by the user.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

verify_oauth2_token 函数验证 JWT 签名、aud 声明和 exp 声明。您还必须验证 hd 检查 verify_oauth2_token 返回。如果多个客户端访问后端服务器，另请手动验证 aud 声明。

调用 tokeninfo 端点

为调试验证 ID 令牌签名的一种简单方法是使用 tokeninfo 端点。调用此端点涉及这个额外的网络请求会为您完成大部分的验证工作，验证和载荷提取。不适合在生产环境中使用因为请求可能会受到限制或出现间歇性错误。

如需使用 tokeninfo 端点验证 ID 令牌，请创建 HTTPS POST 或 GET 请求发送到端点，并在 id_token 参数。例如，要验证令牌“XYZ123”，请发出以下 GET 请求：

https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123

如果令牌经过正确签名，并且 iss 和 exp 具有预期值，就会收到 HTTP 200 响应，其中正文包含 JSON 格式的 ID 令牌声明。以下是示例响应：

{
 // These six fields are included in all Google ID Tokens.
 "iss": "https://accounts.google.com",
 "sub": "110169484474386276334",
 "azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "iat": "1433978353",
 "exp": "1433981953",

 // These seven fields are only included when the user has granted the "profile" and
 // "email" OAuth scopes to the application.
 "email": "testuser@gmail.com",
 "email_verified": "true",
 "name" : "Test User",
 "picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg",
 "given_name": "Test",
 "family_name": "User",
 "locale": "en"
}

警告：收到这些版权主张后，你仍然需要检查 aud 声明是否包含应用的某个客户端 ID。如果有，则令牌对客户端有效并且专门用于您的客户端，您可以安全地检索和使用用户在 sub 声明中的唯一 Google ID。

如果您需要验证 ID 令牌是否代表 Google Workspace 账号，可以先查看 hd 声明，指示用户的托管网域。只有在以下情况下，从而仅允许特定网域中的成员访问资源。缺少此声明表示该账号不属于 Google Workspace 托管网域。

建立帳戶或工作階段

驗證權杖後，請檢查使用者是否已存在於你的使用者中資料庫如果是的話，請為使用者建立已驗證的工作階段。如果使用者尚未在您的使用者資料庫中，請從這份資訊中建立新的使用者記錄並為使用者建立工作階段。您可以提示要求使用者在偵測到新建立的使用者

保護使用者帳戶採用跨帳戶防護功能

只要您仰賴 Google 登入使用者，就能自動享有安全功能和基礎架構，這是 Google 為了保護使用者資料而打造。不過萬一使用者的 Google 帳戶遭到入侵，或發生其他重大安全性事件，您的應用程式也較容易受到攻擊。進一步保護帳戶不受重大安全性事件影響，請使用跨帳戶保護措施，可接收 Google 的安全性警示。收到這些活動後，您掌握使用者的 Google 帳戶安全性重大異動即可對你的服務採取行動來保護帳戶安全。

透過後端伺服器驗證 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

將 ID 權杖傳送至伺服器

驗證 ID 權杖的完整性

使用 Google API 客户端库

调用 tokeninfo 端点

建立帳戶或工作階段

保護使用者帳戶採用跨帳戶防護功能

透過後端伺服器驗證