Memverifikasi permintaan dari Google Chat

Untuk aplikasi Google Chat yang dibangun di endpoint HTTP, bagian ini menjelaskan cara memverifikasi bahwa permintaan ke endpoint Anda berasal dari Chat.

Untuk mengirim peristiwa interaksi ke endpoint aplikasi Chat Anda, Google membuat permintaan ke layanan Anda. Untuk memverifikasi bahwa permintaan berasal dari Google, Chat menyertakan token pembawa di header Authorization setiap permintaan HTTPS ke endpoint Anda. Contoh:

POST
Host: yourappurl.com
Authorization: Bearer AbCdEf123456
Content-Type: application/json
User-Agent: Google-Dynamite

String AbCdEf123456 dalam contoh sebelumnya adalah token otorisasi pembawa. Ini adalah token kriptografi yang dibuat oleh Google. Jenis token pembawa dan nilai kolom audience bergantung pada jenis audiens autentikasi yang Anda pilih saat mengonfigurasi aplikasi Chat.

Jika Anda telah menerapkan aplikasi Chat menggunakan Cloud Functions atau Cloud Run, Cloud IAM akan menangani verifikasi token secara otomatis. Anda hanya perlu menambahkan akun layanan Google Chat sebagai pemanggil yang sah. Jika aplikasi Anda menerapkan server HTTP-nya sendiri, Anda dapat memverifikasi token pembawa menggunakan library klien Google API open source:

• Java: https://github.com/google/google-api-java-client
• Python: https://github.com/google/google-api-python-client
• Node.js: https://github.com/google/google-api-nodejs-client
• .NET: https://github.com/google/google-api-dotnet-client

Jika token tidak diverifikasi untuk aplikasi Chat, layanan Anda harus merespons permintaan dengan kode respons HTTPS 401 (Unauthorized).

Mengautentikasi permintaan menggunakan Cloud Functions atau Cloud Run

Jika logika fungsi Anda diimplementasikan menggunakan Cloud Functions atau Cloud Run, Anda harus memilih URL endpoint HTTP di kolom Audiens Autentikasi pada setelan koneksi aplikasi Chat dan memastikan bahwa URL endpoint HTTP dalam konfigurasi sesuai dengan URL endpoint Cloud Function atau Cloud Run.

Kemudian, Anda harus memberikan otorisasi pada akun layanan Google Chat chat@system.gserviceaccount.com sebagai pemanggil.

Langkah-langkah berikut menunjukkan cara menggunakan Cloud Functions (generasi ke-1):

gcloud functions add-iam-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:chat@system.gserviceaccount.com' \
  --role='roles/cloudfunctions.invoker'

Langkah-langkah berikut menunjukkan cara menggunakan layanan Cloud Functions (generasi ke-2) atau Cloud Run:

gcloud functions add-invoker-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:chat@system.gserviceaccount.com'

Mengautentikasi permintaan HTTP dengan Token ID

Jika kolom Audiens Autentikasi pada setelan koneksi aplikasi Chat ditetapkan ke URL endpoint HTTP, token otorisasi pembawa dalam permintaan adalah token ID OpenID Connect (OIDC) yang ditandatangani Google. Kolom email ditetapkan ke chat@system.gserviceaccount.com. Kolom Authentication Audience ditetapkan ke URL yang Anda konfigurasi agar Google Chat mengirim permintaan ke aplikasi Chat Anda. Misalnya, jika endpoint aplikasi Chat yang dikonfigurasi adalah https://example.com/app/, maka kolom Authentication Audience dalam token ID adalahhttps://example.com/app/.

Ini adalah metode autentikasi yang direkomendasikan jika endpoint HTTP Anda tidak dihosting di layanan yang mendukung autentikasi berbasis IAM (seperti Cloud Functions atau Cloud Run). Dengan menggunakan metode ini, layanan HTTP Anda memerlukan informasi tentang URL endpoint tempat layanan tersebut berjalan, tetapi tidak memerlukan informasi tentang nomor project Cloud.

Contoh berikut menunjukkan cara memverifikasi bahwa token pembawa dikeluarkan oleh Google Chat dan ditujukan untuk aplikasi Anda menggunakan library klien Google OAuth.

String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(new ApacheHttpTransport(), factory)
        .setAudience(Collections.singletonList(AUDIENCE))
        .build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.getPayload().getEmailVerified()
    && idToken.getPayload().getEmail().equals(CHAT_ISSUER);

# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    token = id_token.verify_oauth2_token(bearer, request, AUDIENCE)
    return token['email'] == CHAT_ISSUER

except:
    return False

// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by chatIssuer, intended for a third party.
try {
  const ticket = await client.verifyIdToken({
    idToken: bearer,
    audience: audience
  });
  return ticket.getPayload().email_verified
      && ticket.getPayload().email === chatIssuer;
} catch (unused) {
  return false;
}

Mengautentikasi permintaan dengan JWT Nomor Project

Jika kolom Audiens Autentikasi pada setelan koneksi aplikasi Chat ditetapkan ke Project Number, token otorisasi pembawa dalam permintaan adalah Token Web JSON (JWT) yang ditandatangani sendiri, dikeluarkan dan ditandatangani oleh chat@system.gserviceaccount.com. Kolom audience disetel ke nomor project Google Cloud yang Anda gunakan untuk membangun aplikasi Chat Anda. Misalnya, jika nomor project Cloud aplikasi Chat Anda adalah 1234567890, maka kolom audience di JWT adalah 1234567890.

Metode autentikasi ini hanya direkomendasikan jika Anda lebih memilih menggunakan nomor project Cloud untuk memverifikasi permintaan, bukan URL endpoint HTTP. Misalnya, jika Anda ingin mengubah URL endpoint dari waktu ke waktu sambil mempertahankan nomor project Cloud yang sama, atau jika Anda ingin menggunakan endpoint yang sama untuk beberapa nomor project Cloud dan ingin membandingkan kolom audience dengan daftar nomor project Cloud.

Contoh berikut menunjukkan cara memverifikasi bahwa token pembawa dikeluarkan oleh Google Chat dan ditujukan ke project Anda menggunakan library klien Google OAuth.

String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GooglePublicKeysManager keyManagerBuilder =
    new GooglePublicKeysManager.Builder(new ApacheHttpTransport(), factory)
        .setPublicCertsEncodedUrl(
            "https://www.googleapis.com/service_accounts/v1/metadata/x509/" + CHAT_ISSUER)
        .build();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(keyManagerBuilder).setIssuer(CHAT_ISSUER).build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.verifyAudience(Collections.singletonList(AUDIENCE))
    && idToken.verifyIssuer(CHAT_ISSUER);

# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    certs_url = 'https://www.googleapis.com/service_accounts/v1/metadata/x509/' + CHAT_ISSUER
    token = id_token.verify_token(bearer, request, AUDIENCE, certs_url)
    return token['iss'] == CHAT_ISSUER

except:
    return False

// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by CHAT_ISSUER, intended for a third party.
try {
  const response = await fetch('https://www.googleapis.com/service_accounts/v1/metadata/x509/' + chatIssuer);
  const certs = await response.json();
  await client.verifySignedJwtWithCertsAsync(
    bearer, certs, audience, [chatIssuer]);
  return true;
} catch (unused) {
  return false;
}

Topik terkait

• Untuk ringkasan autentikasi dan otorisasi di Google Workspace, lihat Mempelajari autentikasi dan otorisasi.
• Untuk ringkasan autentikasi dan otorisasi di Chat, lihat Ringkasan autentikasi.
• Siapkan autentikasi dan otorisasi dengan kredensial pengguna atau akun layanan.