将 OAuth 2.0 用于服务器到服务器应用

创建 JWT

JWT 由三个部分组成：标头、声明集和签名。标头和声明集是 JSON 对象。这些 JSON 对象已序列化为 UTF-8 字节，然后使用 Base64url 编码进行编码。这种编码可以防止由于重复编码操作而导致编码更改的弹性。标头、声明集和签名通过英文句点 (.) 字符串联起来。

JWT 的组成如下所示：

{Base64url encoded header}.{Base64url encoded claim set}.{Base64url encoded signature}

签名的基本字符串如下所示：

{Base64url encoded header}.{Base64url encoded claim set}

构建 JWT 标头

该标头包含两个字段，用于指示签名算法和断言的格式。这两个字段均为必填字段，且每个字段只有一个值。随着其他算法和格式的引入，此头文件也会相应变化。

服务帐号依赖于 RSA SHA-256 算法和 JWT 令牌格式。因此，标头的 JSON 表示法如下所示：

{"alg":"RS256","typ":"JWT"}

此参数的 Base64url 表示形式如下所示：

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9

形成 JWT 声明集

JWT 声明集包含有关 JWT 的信息，包括请求的权限（范围）、令牌的目标、颁发者、令牌的发出时间以及令牌的生命周期。大部分字段均为必填字段。与 JWT 标头一样，JWT 声明集也是 JSON 对象，用于计算签名。

必需的声明

JWT 声明集中必需的声明如下所示。它们可能以声明集中的任意顺序出现。

JWT 声明集中必填字段的 JSON 表示法如下所示：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/devstorage.read_only",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

其他版权主张

在某些企业情况下，应用可以使用全网域授权来代表组织中的特定用户执行操作。必须先授予执行此类模拟的权限，然后应用才能模拟用户，并且通常由超级用户处理。如需了解详情，请参阅通过全网域授权来控制 API 访问权限。

如需获取可授予应用对资源的访问权限的访问令牌，请在 JWT 声明中包含用户的电子邮件地址，并将其设为 sub 字段的值。

如果某个应用无权模拟用户，则对包含 sub 字段的访问令牌请求的响应将是错误。

下面显示了包含 sub 字段的 JWT 声明集示例：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "sub": "some.user@example.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

编码 JWT 声明集

与 JWT 标头一样，JWT 声明集应序列化为采用 UTF-8 和 Base64url-safe 编码。以下是 JWT 声明集的 JSON 表示法示例：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

计算签名

JSON Web 签名 (JWS) 是规范 JWT 签名机制的规范。该签名的输入是以下内容的字节数组：

{Base64url encoded header}.{Base64url encoded claim set}

计算签名时，必须使用 JWT 标头中的签名算法。Google OAuth 2.0 授权服务器唯一支持的签名算法是采用 SHA-256 哈希算法的 RSA。这在 JWT 标头的 alg 字段中表示为 RS256。

使用从 Google API Console获取的私钥，使用 SHA256withRSA（也称为 RSASSA-PKCS1-V1_5-SIGN，使用 SHA-256 哈希函数）为输入的 UTF-8 表示法签名。输出将是一个字节数组。

然后，签名必须进行 Base64url 编码。标头、声明集和签名通过英文句点 (.) 字符串联起来。结果就是 JWT。您应如下所示（为清楚起见，添加了换行符）：

{Base64url encoded header}.
{Base64url encoded claim set}.
{Base64url encoded signature}

以下是采用 Base64url 编码的 JWT 示例：

{"alg":"RS256","typ":"JWT"}.
{
"iss":"761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
"scope":"https://www.googleapis.com/auth/prediction",
"aud":"https://oauth2.googleapis.com/token",
"exp":1328554385,
"iat":1328550785
}.
[signature bytes]

以下是已签署并且可以传输的 JWT 示例：

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL29hdXRoMi92NC90b2tlbiIsImV4cCI6MTMyODU1NDM4NSwiaWF0IjoxMzI4NTUwNzg1fQ.UFUt59SUM2_AW4cRU8Y0BYVQsNTo4n7AFsNrqOpYiICDu37vVt-tw38UKzjmUKtcRsLLjrR3gFW3dNDMx_pL9DVjgVHDdYirtrCekUHOYoa1CMR66nxep5q5cBQ4y4u2kIgSvChCTc9pmLLNoIem-ruCecAJYgI9Ks7pTnW1gkOKs0x3YpiLpzplVHAkkHztaXiJdtpBcY1OXyo6jTQCa3Lk2Q3va1dPkh_d--GU2M5flgd8xNBPYw4vxyt0mP59XZlHMpztZt0soSgObf7G3GXArreF_6tpbFsS3z2t5zkEiHuWJXpzcYr5zWTRPDEHsejeBSG8EgpLDce2380ROQ

发出访问令牌请求

生成已签名的 JWT 后，应用可以使用它来请求访问令牌。此访问令牌请求是 HTTPS POST 请求，并且正文经过了网址编码。网址如下所示：

https://oauth2.googleapis.com/token

HTTPS POST 请求需要以下参数：

以下是访问令牌请求中使用的 HTTPS POST 请求的原始转储：

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.ixOUGehweEVX_UKXv5BbbwVEdcz6AYS-6uQV6fGorGKrHf3LIJnyREw9evE-gs2bmMaQI5_UbabvI4k-mQE4kBqtmSpTzxYBL1TCd7Kv5nTZoUC1CmwmWCFqT9RE6D7XSgPUh_jF1qskLa2w0rxMSjwruNKbysgRNctZPln7cqQ

以下是同样使用 curl 的请求：

curl -d 'grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.RZVpzWygMLuL-n3GwjW1_yhQhrqDacyvaXkuf8HcJl8EtXYjGjMaW5oiM5cgAaIorrqgYlp4DPF_GuncFqg9uDZrx7pMmCZ_yHfxhSCXru3gbXrZvAIicNQZMFxrEEn4REVuq7DjkTMyCMGCY1dpMa8aWfTQFt3Eh7smLchaZsU
' https://oauth2.googleapis.com/token

处理响应

如果 JWT 和访问令牌请求的格式正确，并且服务帐号有权执行该操作，则来自授权服务器的 JSON 响应将包含一个访问令牌。以下是响应示例：

{
  "access_token": "1/8xbJqaOZXSUZbHLl5EOtu1pxz3fmmetKx9W8CV4t79M",
  "scope": "https://www.googleapis.com/auth/prediction"
  "token_type": "Bearer",
  "expires_in": 3600
}

访问令牌可以在 expires_in 值指定的时长内重复使用。

访问令牌何时过期

Google OAuth 2.0 授权服务器发出的访问令牌会在 expires_in 值提供的期限过后过期。当访问令牌到期时，应用应生成另一个 JWT，为其签名，并请求另一个访问令牌。