백엔드 서버에서 인증

백엔드와 통신하는 앱 또는 사이트에서 Google 로그인을 사용하는 경우 서버에 현재 로그인한 사용자의 신원을 확인해야 할 수 있습니다. 이를 위해 사용자가 정상적으로 로그인한 후에 사용자의 HTTPS를 사용하여 서버에 ID 토큰을 전달합니다. 그런 다음 서버에서 무결성을 확인합니다. 토큰에 포함된 사용자 정보를 사용하여 새로운 계정을 생성합니다.

서버에 ID 토큰 전송

사용자가 정상적으로 로그인한 후에 사용자의 ID 토큰을 가져옵니다.

function onSignIn(googleUser) {
  var id_token = googleUser.getAuthResponse().id_token;
  ...
}

그런 다음 HTTPS POST 요청을 사용하여 서버에 ID 토큰을 전송합니다.

var xhr = new XMLHttpRequest();
xhr.open('POST', 'https://yourbackend.example.com/tokensignin');
xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
xhr.onload = function() {
  console.log('Signed in as: ' + xhr.responseText);
};
xhr.send('idtoken=' + id_token);

ID 토큰의 무결성 확인

HTTPS POST로 ID 토큰을 받은 후 무결성을 확인해야 합니다. 토큰입니다.

토큰이 유효한지 확인하려면 다음을 확인하세요. 다음 기준을 충족해야 합니다.

• Google에서 ID 토큰을 올바르게 서명했는지 확인합니다. Google의 공개 키 사용 (제공: JWK 또는 PEM 형식) 토큰의 서명을 확인합니다 이러한 키는 정기적으로 순환됩니다. 검사하다 응답의 Cache-Control 헤더를 통해 다시 가져와야 합니다
• ID 토큰의 aud 값은 앱의 클라이언트 ID를 찾습니다. 이 검사는 악의적인 행위자에게 발급된 ID 토큰을 앱의 백엔드 서버에서 동일한 사용자에 대한 데이터에 액세스하는 데 사용되는 앱.
• ID 토큰의 iss 값은 다음과 같습니다. accounts.google.com 또는 https://accounts.google.com입니다.
• ID 토큰의 만료 시간 (exp)이 지나지 않았습니다.
• ID 토큰이 Google Workspace 또는 Cloud를 나타내는지 확인해야 하는 경우 조직 계정에 대한 hd 클레임을 확인하면 사용자 도메인입니다. 리소스에 대한 액세스 권한을 특정 도메인을 사용하는 경우가 많습니다 이 소유권 주장이 없으면 계정이 다음에 속하지 않음을 나타냅니다. Google이 호스팅하는 도메인입니다.

email, email_verified, hd 필드를 사용하면 Google은 이메일 주소를 호스팅하고 이에 대한 권한이 있습니다. Google이 공신력 있는 경우 합법적인 계정 소유자로 알려진 경우 비밀번호나 기타 로그인 정보를 건너뛸 수 챌린지 방법.

Google이 신뢰할 수 있는 케이스:

• email의 접미사는 @gmail.com입니다. 이 계정은 Gmail 계정입니다.
• email_verified이(가) true이고 hd이(가) 설정되어 있습니다. 이는 G Suite 계정입니다.

사용자는 Gmail 또는 G Suite를 사용하지 않고도 Google 계정에 등록할 수 있습니다. 날짜 email에 @gmail.com 서픽스가 포함되어 있지 않고 hd가 없는 경우 Google은 포함되지 않음 신뢰할 수 있는 비밀번호나 다른 본인 확인 방법을 사용하여 있습니다. Google에서 처음에 확인했으므로 email_verified도 true일 수 있습니다. 사용자에게 양도할 수 있지만 제3자의 소유권은 이메일 계정이 변경되었을 수 있습니다.

이러한 확인 단계를 수행하기 위해 직접 코드를 작성하는 대신 Google에서는 플랫폼에 Google API 클라이언트 라이브러리를 사용하거나 JWT 라이브러리도 있습니다. 개발 및 디버깅을 위해 tokeninfo를 호출할 수 있습니다. 엔드포인트가 있습니다

Using a Google API Client Library

Using one of the Google API Client Libraries (e.g. Java, Node.js, PHP, Python) is the recommended way to validate Google ID tokens in a production environment.

import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

npm install google-auth-library --save

const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

composer require google/apiclient

require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

Calling the tokeninfo endpoint

An easy way to validate an ID token signature for debugging is to use the tokeninfo endpoint. Calling this endpoint involves an additional network request that does most of the validation for you while you test proper validation and payload extraction in your own code. It is not suitable for use in production code as requests may be throttled or otherwise subject to intermittent errors.

To validate an ID token using the tokeninfo endpoint, make an HTTPS POST or GET request to the endpoint, and pass your ID token in the id_token parameter. For example, to validate the token "XYZ123", make the following GET request:

https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123

If the token is properly signed and the iss and exp claims have the expected values, you will get a HTTP 200 response, where the body contains the JSON-formatted ID token claims. Here's an example response:

{
 // These six fields are included in all Google ID Tokens.
 "iss": "https://accounts.google.com",
 "sub": "110169484474386276334",
 "azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "iat": "1433978353",
 "exp": "1433981953",

 // These seven fields are only included when the user has granted the "profile" and
 // "email" OAuth scopes to the application.
 "email": "testuser@gmail.com",
 "email_verified": "true",
 "name" : "Test User",
 "picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg",
 "given_name": "Test",
 "family_name": "User",
 "locale": "en"
}

If you need to validate that the ID token represents a Google Workspace account, you can check the hd claim, which indicates the hosted domain of the user. This must be used when restricting access to a resource to only members of certain domains. The absence of this claim indicates that the account does not belong to a Google Workspace hosted domain.

계정 또는 세션 만들기

토큰을 확인한 후 사용자가 이미 사용자에게 있는지 확인합니다. 데이터베이스입니다. 설정된 경우 사용자에 대해 인증된 세션을 설정합니다. 사용자가 사용자 데이터베이스에 없는 경우 정보에서 새 사용자 레코드를 만듭니다. 사용자를 위한 세션을 설정합니다. 사용자는 사용자의 개인 정보를 보호할 수 있는 추가 프로필 정보를 앱에 새로 생성된 사용자를 포함합니다.

사용자 보호 교차 계정 보호가 있는 계정

Google을 통해 사용자 로그인을 하면 자동으로 제공되는 모든 이점을 누릴 수 있습니다. Google에서 사용자의 데이터를 보호하기 위해 구축한 보안 기능과 인프라를 제공합니다. 하지만 드물지만 사용자의 Google 계정이 도용되거나 기타 계정이 도용된 경우 앱이 공격에 취약해질 수 있습니다 안전하게 보호하려면 계정을 해지하지 않으려면 교차 계정 Google의 보안 알림을 수신하기 위한 보호 조치입니다. 이러한 이벤트를 수신하면 사용자 Google 계정의 보안에 대한 중요 변경사항을 확인하고 그런 다음 서비스에 조치를 취하여 계정을 보호할 수 있습니다.