Kullanıcı bir Google Hesabı seçtiğinde One Tap oturum açma istemcisi bir Google kimliği jetonu alır. Kimlik jetonu, kullanıcının temel profil bilgilerini de içeren imzalı bir kullanıcı onayıdır. Muhtemelen Google tarafından doğrulanmış bir e-posta adresi de bu kapsamdadır.
Kimlik jetonları mevcut olduğunda, bunları uygulamanızın arka ucuyla güvenli bir şekilde kimlik doğrulamak veya kullanıcının e-posta adresini doğrulamanıza gerek kalmadan kullanıcıyı yeni bir hesaba otomatik olarak kaydetmek için kullanabilirsiniz.
Oturum açmak veya kimlik jetonuyla bir kullanıcının kaydını yapmak için jetonu uygulamanızın arka ucuna gönderin. Arka uçta, bir Google API istemci kitaplığı veya genel amaçlı bir JWT kitaplığı kullanarak jetonu doğrulayın. Kullanıcı daha önce uygulamanızda bu Google Hesabı ile oturum açmadıysa yeni bir hesap oluşturun.
Tekrar saldırılarından kaçınmanıza yardımcı olması için isteğe bağlı olarak tek seferlik rastgele sayı kullanmayı seçtiyseniz, arka uç sunucunuza Kimlik Jetonu ile birlikte göndermek için getNonce değerini kullanın ve beklenen değeri kontrol edin. Kullanıcı güvenliğini artırmak için tek seferlik rastgele bir sayı kullanmanızı önemle tavsiye ederiz.
Kimlik bilgisi nesnesinden kimlik jetonu alma
Bir kullanıcının kimlik bilgilerini aldıktan sonra, kimlik bilgisi nesnesinin kimlik jetonu içerip içermediğini kontrol edin. Varsa arka ucunuza gönderin.
Java
public class YourActivity extends AppCompatActivity { // ... private static final int REQ_ONE_TAP = 2; // Can be any integer unique to the Activity. private boolean showOneTapUI = true; // ... @Override protected void onActivityResult(int requestCode, int resultCode, @Nullable Intent data) { super.onActivityResult(requestCode, resultCode, data); switch (requestCode) { case REQ_ONE_TAP: try { SignInCredential credential = oneTapClient.getSignInCredentialFromIntent(data); String idToken = credential.getGoogleIdToken(); if (idToken != null) { // Got an ID token from Google. Use it to authenticate // with your backend. Log.d(TAG, "Got ID token."); } } catch (ApiException e) { // ... } break; } } }
Kotlin
class YourActivity : AppCompatActivity() { // ... private val REQ_ONE_TAP = 2 // Can be any integer unique to the Activity private var showOneTapUI = true // ... override fun onActivityResult(requestCode: Int, resultCode: Int, data: Intent?) { super.onActivityResult(requestCode, resultCode, data) when (requestCode) { REQ_ONE_TAP -> { try { val credential = oneTapClient.getSignInCredentialFromIntent(data) val idToken = credential.googleIdToken when { idToken != null -> { // Got an ID token from Google. Use it to authenticate // with your backend. Log.d(TAG, "Got ID token.") } else -> { // Shouldn't happen. Log.d(TAG, "No ID token!") } } } catch (e: ApiException) { // ... } } } // ... }
Kimlik jetonunun bütünlüğünü doğrulama
Kimlik jetonunu, HTTPS POST ile aldıktan sonra jetonun bütünlüğünü doğrulamanız gerekir.
To verify that the token is valid, ensure that the following criteria are satisfied:
- The ID token is properly signed by Google. Use Google's public keys
(available in
JWK or
PEM format)
to verify the token's signature. These keys are regularly rotated; examine
the
Cache-Control
header in the response to determine when you should retrieve them again. - The value of
aud
in the ID token is equal to one of your app's client IDs. This check is necessary to prevent ID tokens issued to a malicious app being used to access data about the same user on your app's backend server. - The value of
iss
in the ID token is equal toaccounts.google.com
orhttps://accounts.google.com
. - The expiry time (
exp
) of the ID token has not passed. - If you need to validate that the ID token represents a Google Workspace or Cloud
organization account, you can check the
hd
claim, which indicates the hosted domain of the user. This must be used when restricting access to a resource to only members of certain domains. The absence of this claim indicates that the account does not belong to a Google hosted domain.
Using the email
, email_verified
and hd
fields, you can determine if
Google hosts and is authoritative for an email address. In the cases where Google is authoritative,
the user is known to be the legitimate account owner, and you may skip password or other
challenge methods.
Cases where Google is authoritative:
email
has a@gmail.com
suffix, this is a Gmail account.email_verified
is true andhd
is set, this is a G Suite account.
Users may register for Google Accounts without using Gmail or G Suite. When
email
does not contain a @gmail.com
suffix and hd
is absent, Google is not
authoritative and password or other challenge methods are recommended to verify
the user. email_verified
can also be true as Google initially verified the
user when the Google account was created, however ownership of the third party
email account may have since changed.
Rather than writing your own code to perform these verification steps, we strongly
recommend using a Google API client library for your platform, or a general-purpose
JWT library. For development and debugging, you can call our tokeninfo
validation endpoint.
Google API İstemci Kitaplığını Kullanma
Üretim ortamındaki Google kimliği jetonlarını doğrulamak için Google API İstemci Kitaplıklarından birini (ör. Java, Node.js, PHP, Python) kullanmak önerilen yöntemdir.
Java'da kimlik jetonunu doğrulamak için GoogleIdTokenVerifier nesnesini kullanın. Örneğin:
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken; import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload; import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier; ... GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory) // Specify the CLIENT_ID of the app that accesses the backend: .setAudience(Collections.singletonList(CLIENT_ID)) // Or, if multiple clients access the backend: //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3)) .build(); // (Receive idTokenString by HTTPS POST) GoogleIdToken idToken = verifier.verify(idTokenString); if (idToken != null) { Payload payload = idToken.getPayload(); // Print user identifier String userId = payload.getSubject(); System.out.println("User ID: " + userId); // Get profile information from payload String email = payload.getEmail(); boolean emailVerified = Boolean.valueOf(payload.getEmailVerified()); String name = (String) payload.get("name"); String pictureUrl = (String) payload.get("picture"); String locale = (String) payload.get("locale"); String familyName = (String) payload.get("family_name"); String givenName = (String) payload.get("given_name"); // Use or store profile information // ... } else { System.out.println("Invalid ID token."); }
GoogleIdTokenVerifier.verify()
yöntemi JWT imzasını, aud
hak talebini, iss
hak talebini ve exp
hak talebini doğrular.
Kimlik jetonunun bir Google Workspace veya Cloud kuruluş hesabını temsil ettiğini doğrulamanız gerekiyorsa Payload.getHostedDomain()
yöntemiyle döndürülen alan adını kontrol ederek hd
hak talebini doğrulayabilirsiniz. email
talebinin alanı, hesabın bir alan veya kuruluş tarafından yönetildiğinden emin olmak için yeterli değil.
Node.js'de kimlik jetonunu doğrulamak üzere Node.js için Google Kimlik Doğrulama Kitaplığı'nı kullanın. Kitaplığı yükleyin:
npm install google-auth-library --saveArdından,
verifyIdToken()
işlevini çağırın. Örneğin:
const {OAuth2Client} = require('google-auth-library'); const client = new OAuth2Client(); async function verify() { const ticket = await client.verifyIdToken({ idToken: token, audience: CLIENT_ID, // Specify the CLIENT_ID of the app that accesses the backend // Or, if multiple clients access the backend: //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3] }); const payload = ticket.getPayload(); const userid = payload['sub']; // If the request specified a Google Workspace domain: // const domain = payload['hd']; } verify().catch(console.error);
verifyIdToken
işlevi, JWT imzasını, aud
hak talebini, exp
hak talebini ve iss
hak talebini doğrular.
Kimlik jetonunun bir Google Workspace veya Cloud kuruluş hesabını temsil ettiğini doğrulamanız gerekiyorsa kullanıcının barındırılan alanını belirten hd
hak talebini kontrol edebilirsiniz. Bu, bir kaynağa erişimi yalnızca belirli alanların üyeleriyle kısıtlarken kullanılmalıdır. Bu iddianın olmaması, hesabın Google tarafından barındırılan bir alana ait olmadığını gösterir.
PHP'de kimlik jetonunu doğrulamak üzere PHP için Google API İstemci Kitaplığı'nı kullanın. Kitaplığı yükleyin (örneğin, Composer kullanarak):
composer require google/apiclientArdından,
verifyIdToken()
işlevini çağırın. Örneğin:
require_once 'vendor/autoload.php'; // Get $id_token via HTTPS POST. $client = new Google_Client(['client_id' => $CLIENT_ID]); // Specify the CLIENT_ID of the app that accesses the backend $payload = $client->verifyIdToken($id_token); if ($payload) { $userid = $payload['sub']; // If the request specified a Google Workspace domain //$domain = $payload['hd']; } else { // Invalid ID token }
verifyIdToken
işlevi, JWT imzasını, aud
hak talebini, exp
hak talebini ve iss
hak talebini doğrular.
Kimlik jetonunun bir Google Workspace veya Cloud kuruluş hesabını temsil ettiğini doğrulamanız gerekiyorsa kullanıcının barındırılan alanını belirten hd
hak talebini kontrol edebilirsiniz. Bu, bir kaynağa erişimi yalnızca belirli alanların üyeleriyle kısıtlarken kullanılmalıdır. Bu iddianın olmaması, hesabın Google tarafından barındırılan bir alana ait olmadığını gösterir.
Python'da kimlik jetonunu doğrulamak için verify_oauth2_token işlevini kullanın. Örneğin:
from google.oauth2 import id_token from google.auth.transport import requests # (Receive token by HTTPS POST) # ... try: # Specify the CLIENT_ID of the app that accesses the backend: idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID) # Or, if multiple clients access the backend server: # idinfo = id_token.verify_oauth2_token(token, requests.Request()) # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]: # raise ValueError('Could not verify audience.') # If the request specified a Google Workspace domain # if idinfo['hd'] != DOMAIN_NAME: # raise ValueError('Wrong domain name.') # ID token is valid. Get the user's Google Account ID from the decoded token. userid = idinfo['sub'] except ValueError: # Invalid token pass
verify_oauth2_token
işlevi, JWT imzasını, aud
hak talebini ve exp
hak talebini doğrular.
Ayrıca, verify_oauth2_token
tarafından döndürülen nesneyi inceleyerek hd
hak talebini (varsa) doğrulamanız gerekir. Arka uç sunucusuna birden fazla istemci erişirse aud
talebini manuel olarak da doğrulayın.
Jetonbilgi uç noktasını çağırma
Hata ayıklama için kimlik jetonu imzasını doğrulamanın kolay bir yolu, tokeninfo
uç noktasını kullanmaktır. Bu uç noktanın çağrılması, kendi kodunuzda doğru doğrulamayı ve yük ayıklamayı test ederken doğrulamanın büyük kısmını sizin için yapan ek bir ağ isteği içerir. İstekler kısıtlanabileceği veya başka şekilde aralıklı hatalara maruz kalabileceğinden üretim kodunda kullanıma uygun değildir.
tokeninfo
uç noktasını kullanarak kimlik jetonunu doğrulamak için uç noktaya bir HTTPS POST veya GET isteği gönderin ve kimlik jetonunuzu id_token
parametresinde iletin.
Örneğin, "XYZ123" jetonunu doğrulamak için aşağıdaki GET isteğini yapın:
https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123
Jeton düzgün şekilde imzalandıysa ve iss
ile exp
hak talepleri beklenen değerleri içeriyorsa bir HTTP 200 yanıtı alırsınız. Burada, gövde JSON biçimli kimlik jetonu taleplerini içerir.
Aşağıda örnek bir yanıt verilmiştir:
{ // These six fields are included in all Google ID Tokens. "iss": "https://accounts.google.com", "sub": "110169484474386276334", "azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com", "aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com", "iat": "1433978353", "exp": "1433981953", // These seven fields are only included when the user has granted the "profile" and // "email" OAuth scopes to the application. "email": "testuser@gmail.com", "email_verified": "true", "name" : "Test User", "picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg", "given_name": "Test", "family_name": "User", "locale": "en" }
Kimlik jetonunun bir Google Workspace hesabını temsil ettiğini doğrulamanız gerekiyorsa kullanıcının barındırılan alanını belirten hd
hak talebini kontrol edebilirsiniz. Bu, bir kaynağa erişimi yalnızca belirli alanların üyeleriyle kısıtlarken kullanılmalıdır. Bu iddianın olmaması hesabın Google Workspace tarafından barındırılan bir alana ait olmadığını gösterir.
Hesap veya oturum oluşturma
Jetonu doğruladıktan sonra, kullanıcının zaten kullanıcı veritabanınızda olup olmadığını kontrol edin. Bu durumda, kullanıcı için kimliği doğrulanmış oturum oluşturun. Kullanıcı henüz kullanıcı veritabanınızda bulunmuyorsa kimlik jetonu yükündeki bilgilerden yeni bir kullanıcı kaydı ve kullanıcı için bir oturum oluşturun. Uygulamanızda yeni oluşturulmuş bir kullanıcı tespit ettiğinizde kullanıcıdan ihtiyaç duyduğunuz ek profil bilgilerini vermesini isteyebilirsiniz.
Hesaplar Arası Koruma ile kullanıcılarınızın hesaplarının güvenliğini sağlama
Bir kullanıcının oturum açması için Google'a bağlı olduğunuzda, Google'ın kullanıcı verilerini korumak için oluşturduğu tüm güvenlik özelliklerinden ve altyapıdan otomatik olarak yararlanırsınız. Ancak, çok düşük bir ihtimal de olsa kullanıcının Google Hesabı'nın güvenliğinin ihlal edilmesi veya başka bir önemli güvenlik olayı söz konusuysa uygulamanız saldırılara açık hale gelebilir. Hesaplarınızı büyük güvenlik olaylarından daha iyi korumak için Google'dan güvenlik uyarıları almak üzere Hesaplar Arası Koruma'yı kullanın. Bu etkinlikleri aldığınızda, kullanıcının Google hesabının güvenliğiyle ilgili önemli değişiklikleri görebilir ve ardından hesaplarınızın güvenliğini sağlamak için hizmetinizde işlem yapabilirsiniz.