对于基于 HTTP 端点构建的 Google Chat 应用,本部分介绍了如何验证对您的端点的请求是否来自 Chat。
为了将互动事件分派到 Chat 应用的端点,Google 会向您的服务发出请求。为了验证请求是否来自 Google,Chat 会在发送到端点的每个 HTTPS 请求的 Authorization
标头中添加一个令牌载荷。例如:
POST
Host: yourappurl.com
Authorization: Bearer AbCdEf123456
Content-Type: application/json
User-Agent: Google-Dynamite
上例中的字符串 AbCdEf123456
是不记名授权
令牌。这是 Google 生成的加密令牌。不记名类型
词元和
audience
字段取决于您在设置时选择的身份验证受众群体类型。
配置 Chat 应用。
如果您使用 Cloud Functions 或 Cloud Run 实现了 Chat 应用,Cloud IAM 会自动处理令牌验证。您 只需将 Google Chat 服务账号添加为已获授权的调用方即可。 如果您的应用实现了自己的 HTTP 服务器,您可以使用开源 Google API 客户端库验证您的 Bearer 令牌:
- Java:https://github.com/google/google-api-java-client
- Python:https://github.com/google/google-api-python-client
- Node.js:https://github.com/google/google-api-nodejs-client
- .NET:https://github.com/google/google-api-dotnet-client
如果令牌未针对 Chat 应用进行验证,您的服务应使用 HTTPS 响应代码 401 (Unauthorized)
对请求做出响应。
使用 Cloud Functions 或 Cloud Run 对请求进行身份验证
如果您的函数逻辑是使用 Cloud Functions 或 Cloud Run 实现的,您需要 必须在应用的 Authentication Audience(身份验证受众群体)字段中选择 HTTP Endpoint 网址(HTTP 端点网址) Chat 应用 连接设置,并确保 配置中的 HTTP 端点网址与 Cloud Functions 函数的网址对应,或 Cloud Run 端点。
然后,您需要为该 Google Chat 服务账号授权
chat@system.gserviceaccount.com
作为调用方。
以下步骤展示了如何使用 Cloud Functions (第 1 代):
控制台
将函数部署到 Google Cloud 后:
在 Google Cloud 控制台中,转到 Cloud Functions 页面:
在 Cloud Functions 列表中,点击接收消息旁边的复选框 函数。(请勿点击函数本身。)
点击屏幕顶部的权限。此时权限面板会打开。
点击添加主账号。
在新的主账号字段中,输入
chat@system.gserviceaccount.com
。选择 Cloud Functions 角色 >Cloud Functions Invoker 选择角色下拉菜单。
点击保存。
gcloud
使用 gcloud functions add-iam-policy-binding
命令:
gcloud functions add-iam-policy-binding RECEIVING_FUNCTION \
--member='serviceAccount:chat@system.gserviceaccount.com' \
--role='roles/cloudfunctions.invoker'
将 RECEIVING_FUNCTION
替换为您的
Chat 应用的功能。
以下步骤展示了如何使用 Cloud Functions(第 2 代)或 Cloud Run 服务:
控制台
将您的函数或服务部署到 Google Cloud 后:
在 Google Cloud 控制台中,转到 Cloud Run 页面。
在 Cloud Run 服务列表中,点击接收消息旁边的复选框 函数。(请勿点击函数本身。)
点击屏幕顶部的权限。此时权限面板会打开。
点击添加主账号。
在新的主账号字段中,输入
chat@system.gserviceaccount.com
。选择角色 Cloud Run >Cloud Run Invoker 选择角色下拉菜单。
点击保存。
gcloud
使用 gcloud functions add-invoker-policy-binding
命令:
gcloud functions add-invoker-policy-binding RECEIVING_FUNCTION \
--member='serviceAccount:chat@system.gserviceaccount.com'
将 RECEIVING_FUNCTION
替换为您的
Chat 应用的功能。
使用 ID 令牌对 HTTP 请求进行身份验证
如果 Chat 应用连接设置的“Authentication Audience”(身份验证受众群体)字段设置为 HTTP 端点网址,则请求中的 Bearer 授权令牌是 Google 签名的 OpenID Connect (OIDC) ID 令牌。email
字段设置为 chat@system.gserviceaccount.com
。
Authentication Audience 字段设置为您配置 Google Chat 向 Chat 应用发送请求的网址。例如,如果 Chat 应用的配置端点为 https://example.com/app/
,则 ID 令牌中的 Authentication Audience 字段为 https://example.com/app/
。
以下示例展示了如何验证不记名令牌是否由 Google Chat,并使用 Google OAuth 客户端库面向您的应用。
Java
Python
Node.js
使用项目编号 JWT 对请求进行身份验证
如果 Chat 应用的“Authentication Audience”(身份验证对象)字段
连接设置设置为 Project
Number
,则请求中的不记名授权令牌是自签名
JSON 网络令牌 (JWT),
由chat@system.gserviceaccount.com
签发并签署。
audience
字段设置为您用于构建 Chat 应用的 Google Cloud 项目编号。例如,如果 Chat 应用的 Cloud 项目编号为 1234567890
,则 JWT 中的 audience
字段为 1234567890
。
以下示例展示了如何使用 Google OAuth 客户端库验证 Bearer 令牌是否由 Google Chat 签发并定位到您的项目。
Java
Python
Node.js
相关主题
- 如需简要了解 Google Workspace 中的身份验证和授权, 请参阅 了解身份验证和授权。
- 如需简要了解 Chat 中的身份验证和授权, 请参阅 身份验证概览。
- 设置身份验证和授权 用户凭据 或 服务账号。