Autenticazione con un server di backend

Se utilizzi Accedi con Google con un'app o un sito che comunica con un backend potrebbe essere necessario identificare l'utente che attualmente ha eseguito l'accesso al server. Per farlo in modo sicuro, dopo che un utente ha eseguito l'accesso, invia il suo ID al tuo server tramite HTTPS. Quindi, verifica l'integrità sul server del token ID e utilizzare le informazioni sull'utente contenute nel token per stabilire una sessione o creare un nuovo account.

Invia il token ID al server

Dopo che un utente ha eseguito l'accesso, recupera il token ID dell'utente:

function onSignIn(googleUser) {
  var id_token = googleUser.getAuthResponse().id_token;
  ...
}

Quindi, invia il token ID al server con una richiesta POST HTTPS:

var xhr = new XMLHttpRequest();
xhr.open('POST', 'https://yourbackend.example.com/tokensignin');
xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
xhr.onload = function() {
  console.log('Signed in as: ' + xhr.responseText);
};
xhr.send('idtoken=' + id_token);

Verifica l'integrità del token ID

Dopo aver ricevuto il token ID tramite HTTPS POST, devi verificare l'integrità del token.

Per verificare che il token sia valido, assicurati che: vengono soddisfatti i seguenti criteri:

• Il token ID sia stato firmato correttamente da Google. Utilizza le chiavi pubbliche di Google (disponibile in JWK o PEM) per verificare la firma del token. Queste chiavi vengono ruotate regolarmente, esaminare l'intestazione Cache-Control nella risposta per determinare quando dovresti recuperarli di nuovo.
• Il valore di aud nel token ID è uguale a uno dei gli ID cliente. Questo controllo è necessario per evitare token ID emessi da un utente malintenzionato dell'app utilizzata per accedere ai dati relativi allo stesso utente sul server di backend dell'app.
• Il valore di iss nel token ID è uguale a accounts.google.com o https://accounts.google.com.
• La data di scadenza (exp) del token ID non è trascorsa.
• Se devi confermare che il token ID rappresenta un account Google Workspace o Cloud dell'organizzazione, puoi controllare la rivendicazione hd, che indica la presenza di dominio dell'utente. Deve essere usato quando limiti l'accesso a una risorsa ai soli membri di determinati domini. L'assenza di questa rivendicazione indica che l'account non appartiene a un Dominio ospitato da Google.

Utilizzando i campi email, email_verified e hd, puoi determinare se Google ospita un indirizzo email ed è autorevole. Nei casi in cui Google è autorevole, è noto per essere il legittimo proprietario dell'account e puoi saltare l'uso della password metodi di verifica.

Casi in cui Google è autorevole:

• email ha un suffisso @gmail.com, questo è un account Gmail.
• email_verified è true e hd è impostato, questo è un account G Suite.

Gli utenti possono registrarsi per creare Account Google senza utilizzare Gmail o G Suite. Quando email non contiene un suffisso @gmail.com e hd non è presente; Google non autoritativi e con password o altri metodi di verifica per verificare per l'utente. Il valore email_verified può anche essere vero perché Google ha verificato inizialmente il valore all'utente quando è stato creato l'account Google, ma la proprietà della terza parte l'account email potrebbe essere cambiato da allora.

Anziché scrivere il tuo codice per eseguire questi passaggi di verifica, ti consigliamo consigliamo di utilizzare una libreria client API di Google per la tua piattaforma o un nella libreria JWT. Per lo sviluppo e il debug, puoi chiamare il nostro tokeninfo endpoint di convalida.

Utilizzo di una libreria client dell'API di Google

Utilizzi una delle librerie client delle API di Google (ad es. Java Node.js, PHP, Python) è il metodo consigliato per convalidare i token ID Google in un ambiente di produzione.

import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

npm install google-auth-library --save

const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

composer require google/apiclient

require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

Chiamata all'endpoint tokeninfo

Un modo semplice per convalidare la firma di un token ID per il debug è: usa l'endpoint tokeninfo. La chiamata a questo endpoint prevede un richiesta di rete aggiuntiva che esegue la maggior parte della convalida, mentre la convalida e l’estrazione del payload nel tuo codice. Non è adatto per l'uso in produzione poiché le richieste potrebbero essere limitate o comunque soggette a errori intermittenti.

Per convalidare un token ID utilizzando l'endpoint tokeninfo, crea un protocollo HTTPS POST o GET all'endpoint e trasmetti il token ID id_token. Ad esempio, per convalidare il token "XYZ123", effettua la seguente richiesta GET:

https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123

Se il token è firmato correttamente e iss e exp che le attestazioni hanno i valori previsti, si riceverà una risposta HTTP 200, in cui il corpo contiene le attestazioni dei token ID in formato JSON. Ecco un esempio di risposta:

{
 // These six fields are included in all Google ID Tokens.
 "iss": "https://accounts.google.com",
 "sub": "110169484474386276334",
 "azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "iat": "1433978353",
 "exp": "1433981953",

 // These seven fields are only included when the user has granted the "profile" and
 // "email" OAuth scopes to the application.
 "email": "testuser@gmail.com",
 "email_verified": "true",
 "name" : "Test User",
 "picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg",
 "given_name": "Test",
 "family_name": "User",
 "locale": "en"
}

Se devi verificare che il token ID rappresenti un account Google Workspace, puoi controllare la rivendicazione hd, che indica il dominio ospitato dell'utente. Deve essere utilizzata quando limitare l'accesso a una risorsa ai soli membri di determinati domini. L'assenza di questa dichiarazione indica che l'account non appartiene a un dominio ospitato da Google Workspace.

Creare un account o una sessione

Dopo aver verificato il token, controlla se l'utente è già presente nell'utente per configurare un database. In questo caso, stabilisci una sessione autenticata per l'utente. Se l'utente non è ancora presente nel tuo database utenti, crea un nuovo record utente dalle informazioni nel payload del token ID e stabilire una sessione per l'utente. Puoi richiedere all'utente per eventuali informazioni aggiuntive del profilo richieste quando rilevi un appena creato nell'app.

Protezione degli utenti con Protezione su più account

Quando ti affidi a Google per eseguire l'accesso di un utente, beneficerai automaticamente di tutte le funzionalità e infrastruttura di sicurezza che Google ha creato per salvaguardare i dati dell'utente. Tuttavia, nell'improbabile caso in cui l'Account Google dell'utente venga compromesso o siano presenti altri un evento di sicurezza significativo, la tua app può anche essere vulnerabile agli attacchi. Per proteggere meglio i tuoi da eventuali eventi importanti relativi alla sicurezza, utilizza Cross account Protection per ricevere avvisi di sicurezza da Google. Quando ricevi questi eventi, Acquisire visibilità sulle modifiche importanti alla sicurezza dell'Account Google dell'utente; puoi agire sul tuo servizio per proteggere i tuoi account.