서버 측에서 Google ID 토큰 확인

Google이 ID 토큰을 반환하면 HTTP POST 메서드 요청으로 매개변수 이름이 credential인 ID 토큰을 로그인 엔드포인트에 제출합니다.

다음은 ID 토큰을 검증하고 사용하는 일반적인 단계를 보여주는 Python 언어의 예시입니다.

  1. 크로스 사이트 요청 위조 (CSRF) 토큰을 확인합니다. 로그인 엔드포인트에 사용자 인증 정보를 제출할 때 Google은 CSRF 공격을 방지하기 위해 이중 제출 쿠키 패턴을 사용합니다. 제출할 때마다 토큰이 생성됩니다. 그리고 나서 다음 코드 예에서와 같이 쿠키가 쿠키와 POST 본문 모두에 삽입됩니다.

    csrf_token_cookie = self.request.cookies.get('g_csrf_token')
if not csrf_token_cookie:
    webapp2.abort(400, 'No CSRF token in Cookie.')
csrf_token_body = self.request.get('g_csrf_token')
if not csrf_token_body:
    webapp2.abort(400, 'No CSRF token in post body.')
if csrf_token_cookie != csrf_token_body:
    webapp2.abort(400, 'Failed to verify double submit cookie.')

  2. ID 토큰을 확인합니다.

    To verify that the token is valid, ensure that the following criteria are satisfied:

    • The ID token is properly signed by Google. Use Google's public keys (available in JWK or PEM format) to verify the token's signature. These keys are regularly rotated; examine the Cache-Control header in the response to determine when you should retrieve them again.
    • The value of aud in the ID token is equal to one of your app's client IDs. This check is necessary to prevent ID tokens issued to a malicious app being used to access data about the same user on your app's backend server.
    • The value of iss in the ID token is equal to accounts.google.com or https://accounts.google.com.
    • The expiry time (exp) of the ID token has not passed.
    • If you want to restrict access to only members of your G Suite domain, verify that the ID token has an hd claim that matches your G Suite domain name.

    Rather than writing your own code to perform these verification steps, we strongly recommend using a Google API client library for your platform, or a general-purpose JWT library. For development and debugging, you can call our tokeninfo validation endpoint.

    Google API 클라이언트 라이브러리 사용

    프로덕션 환경에서 Google ID 토큰을 검증할 때는 Google API 클라이언트 라이브러리 (예: 자바, Node.js, PHP, Python) 중 하나를 사용하는 것이 좋습니다.

    자바

    자바에서 ID 토큰의 유효성을 검사하려면 GoogleIdTokenVerifier 객체를 사용합니다. 예를 들면 다음과 같습니다.

    import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

    GoogleIdTokenVerifier.verify() 메서드는 JWT 서명, aud 클레임, iss 클레임, exp 클레임을 확인합니다.

    G Suite 도메인의 구성원으로만 액세스를 제한하려면 Payload.getHostedDomain() 메서드에서 반환된 도메인 이름을 확인하여 hd 클레임을 확인합니다.

    Node.js

    Node.js에서 ID 토큰을 검증하려면 Node.js용 Google 인증 라이브러리를 사용하세요. 라이브러리를 설치합니다. 

    npm install google-auth-library --save
    그런 다음 verifyIdToken() 함수를 호출합니다. 예를 들면 다음과 같습니다.

    const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If request specified a G Suite domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

    verifyIdToken 함수는 JWT 서명, aud 클레임, exp 클레임, iss 클레임을 확인합니다.

    G Suite 도메인의 구성원으로만 액세스를 제한하려면 hd 클레임이 G Suite 도메인 이름과 일치하는지도 확인하세요.

    PHP

    PHP에서 ID 토큰의 유효성을 검사하려면 PHP용 Google API 클라이언트 라이브러리를 사용합니다. 라이브러리를 설치합니다 (예: Composer 사용). 

    composer require google/apiclient
    그런 다음 verifyIdToken() 함수를 호출합니다. 예를 들면 다음과 같습니다.

    require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If request specified a G Suite domain:
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

    verifyIdToken 함수는 JWT 서명, aud 클레임, exp 클레임, iss 클레임을 확인합니다.

    G Suite 도메인의 구성원으로만 액세스를 제한하려면 hd 클레임이 G Suite 도메인 이름과 일치하는지도 확인하세요.

    Python

    Python에서 ID 토큰을 검증하려면 verify_oauth2_token 함수를 사용합니다. 예를 들면 다음과 같습니다.

    from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If auth request is from a G Suite domain:
    # if idinfo['hd'] != GSUITE_DOMAIN_NAME:
    #     raise ValueError('Wrong hosted domain.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

    verify_oauth2_token 함수는 JWT 서명, aud 클레임, exp 클레임을 확인합니다. 또한 verify_oauth2_token가 반환하는 객체를 검사하여 hd 클레임 (해당하는 경우)을 확인해야 합니다. 여러 클라이언트가 백엔드 서버에 액세스하는 경우 aud 클레임도 수동으로 확인합니다.

  3. 토큰의 유효성이 확인되면 Google ID 토큰의 정보를 사용하여 사이트의 계정 상태를 연관시킬 수 있습니다.

    • 등록되지 않은 사용자: 필요한 경우 사용자가 추가 프로필 정보를 제공할 수 있는 가입 사용자 인터페이스(UI)를 표시할 수 있습니다. 또한 사용자가 새 계정과 로그인한 사용자 세션을 자동으로 만들 수 있습니다.

    • 사이트에 이미 존재하는 기존 계정: 최종 사용자가 비밀번호를 입력하고 기존 계정을 Google 사용자 인증 정보와 연결할 수 있는 웹페이지를 표시할 수 있습니다. 이를 통해 사용자가 기존 계정에 액세스할 수 있음을 확인할 수 있습니다.

    • 재가입 사용자: 사용자가 자동으로 로그인되도록 할 수 있습니다.