Xác minh yêu cầu từ Google Chat

Đối với các ứng dụng Google Chat được xây dựng trên các điểm cuối HTTP, phần này giải thích cách xác minh rằng các yêu cầu đến điểm cuối của bạn là từ Chat.

Để gửi các sự kiện tương tác đến điểm cuối của ứng dụng Chat, Google sẽ gửi các yêu cầu HTTPS đến dịch vụ của bạn. Để xác minh rằng yêu cầu đến từ Google, Chat sẽ thêm một mã thông báo nhận dạng OpenID Connect (OIDC) do Google ký dưới dạng một mã thông báo truy cập trong tiêu đề Authorization của mọi yêu cầu HTTPS (và trong trường authorizationEventObject.systemIdToken của nội dung yêu cầu). Ví dụ:

POST
Host: yourappurl.com
Authorization: Bearer AbCdEf123456
Content-Type: application/json
User-Agent: Google-Dynamite

Chuỗi AbCdEf123456 trong ví dụ trước là mã thông báo uỷ quyền của người mang. Mã thông báo mật mã này được ký bằng tài khoản dịch vụ duy nhất cho mỗi dự án của ứng dụng Chat (service-<var>PROJECT_NUMBER</var>@gcp-sa-gsuiteaddons.iam.gserviceaccount.com) và trường audience được đặt thành URL điểm cuối HTTP được định cấu hình cho ứng dụng Chat của bạn khi định cấu hình ứng dụng Chat.

Bạn có thể sao chép địa chỉ email tài khoản dịch vụ của ứng dụng Chat trong phần Chế độ cài đặt kết nối của thẻ Cấu hình Chat API trong Google Cloud Console:

1. Trong Google Cloud Console, hãy chuyển đến Trình đơn menu > API và Dịch vụ > API và Dịch vụ đã bật > Google Chat API > Cấu hình:

   Chuyển đến phần Cấu hình Google Chat API

2. Trong phần Tính năng tương tác > Cài đặt kết nối, hãy sao chép Địa chỉ email của tài khoản dịch vụ (service-<var>PROJECT_NUMBER</var>@gcp-sa-gsuiteaddons.iam.gserviceaccount.com).

Nếu bạn đã triển khai ứng dụng Chat bằng các hàm Cloud Run hoặc Cloud Run, thì Cloud IAM sẽ tự động xử lý quy trình xác minh mã thông báo khi bạn cấp cho tài khoản dịch vụ của ứng dụng Chat vai trò Cloud Run Invoker (roles/run.invoker). Nếu ứng dụng của bạn triển khai máy chủ HTTP riêng, bạn có thể xác minh mã thông báo truy cập bằng thư viện ứng dụng API của Google nguồn mở:

• Java: https://github.com/google/google-api-java-client
• Python: https://github.com/google/google-api-python-client
• Node.js: https://github.com/google/google-api-nodejs-client
• .NET: https://github.com/google/google-api-dotnet-client

Nếu mã thông báo không xác minh được cho ứng dụng Chat, dịch vụ của bạn sẽ phản hồi yêu cầu bằng mã phản hồi HTTPS 401 (Unauthorized).

Xác thực các yêu cầu bằng cách sử dụng các hàm Cloud Run

Nếu bạn triển khai logic hàm bằng các hàm Cloud Run hoặc Cloud Run, hãy đảm bảo rằng các URL điểm cuối HTTP được định cấu hình trong mục Triggers (Trình kích hoạt) trong chế độ cài đặt kết nối của ứng dụng Chat tương ứng với URL của điểm cuối hàm Cloud Run.

Sau đó, hãy uỷ quyền cho tài khoản dịch vụ của ứng dụng Chat (service-<var>PROJECT_NUMBER</var>@gcp-sa-gsuiteaddons.iam.gserviceaccount.com, được sao chép từ phần Connection settings (Chế độ cài đặt kết nối) của thẻ Configuration (Cấu hình) trong Chat API) làm một trình gọi bằng cách thực hiện các bước sau:

gcloud functions add-invoker-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:service-PROJECT_NUMBER@gcp-sa-gsuiteaddons.iam.gserviceaccount.com'

Xác thực các yêu cầu HTTP bằng mã nhận dạng

Đối với các điểm cuối HTTP, mã thông báo uỷ quyền của người mang trong yêu cầu là một mã thông báo nhận dạng OpenID Connect (OIDC) do Google ký. Trường email được đặt thành địa chỉ email tài khoản dịch vụ của ứng dụng Chat (service-<var>PROJECT_NUMBER</var>@gcp-sa-gsuiteaddons.iam.gserviceaccount.com) và trường audience được đặt thành URL điểm cuối HTTP được định cấu hình để nhận yêu cầu. Ví dụ: nếu điểm cuối đã định cấu hình của ứng dụng Chat là https://example.com/app/, thì trường audience trong mã thông báo nhận dạng là https://example.com/app/.

Đây là phương pháp xác thực được đề xuất nếu điểm cuối HTTP của bạn không được lưu trữ trên một dịch vụ hỗ trợ xác thực dựa trên IAM (chẳng hạn như Cloud Run).

Các mẫu sau đây cho thấy cách xác minh rằng mã thông báo truy cập đã được Google cấp cho ứng dụng Chat của bạn và nhắm đến điểm cuối của ứng dụng bằng cách sử dụng thư viện ứng dụng Google OAuth:

/**
 * Determine whether a Google Workspace add-on request is legitimate.
 * 
 * @param event Event sent from Google Workspace add-on
 * @param authorization Authorization header from the request
 * @return {boolean} Whether the request is legitimate
 */
private boolean verifyAddOnRequest(JsonNode event, String authorization) throws Exception {
  JsonFactory factory = JacksonFactory.getDefaultInstance();

  GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(new ApacheHttpTransport(), factory)
      .setAudience(Collections.singletonList(HTTP_ENDPOINT))
      .build();

  String bearer = authorization.substring("Bearer ".length(), authorization.length());
  GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
  return idToken != null
    && verifier.verify(idToken)
    && idToken.getPayload().getEmailVerified()
    && idToken.getPayload().getEmail().equals(SERVICE_ACCOUNT_EMAIL);
}

def verifyAddOnRequest() -> bool:
  """Determine whether a Google Workspace add-on request is legitimate.

  Args:
    request: Request sent from Google Workspace add-on

  Returns:
    Whether the request is legitimate
  """
  try:
    bearer = request.headers.get('Authorization')[len("Bearer "):]
    token = id_token.verify_oauth2_token(bearer, requests.Request(), HTTP_ENDPOINT)
    return token['email'] == SERVICE_ACCOUNT_EMAIL

  except:
    return False

/**
 * Determine whether a Google Workspace add-on request is legitimate.
 * 
 * @param {Object} req Request sent from Google Workspace add-on
 * @return {boolean} Whether the request is legitimate
 */
async function verifyAddOnRequest(req) {
  try {
    const authorization = req.headers.authorization;
    const idToken = authorization.substring('Bearer '.length, authorization.length);
    const ticket = await new OAuth2Client().verifyIdToken({idToken, audience: HTTP_ENDPOINT});
    return ticket.getPayload().email_verified
        && ticket.getPayload().email === SERVICE_ACCOUNT_EMAIL;
  } catch (unused) {
    return false;
  }
}

Chủ đề có liên quan

• Để biết thông tin tổng quan về quy trình xác thực và uỷ quyền trong Google Workspace, hãy xem bài viết Tìm hiểu về quy trình xác thực và uỷ quyền.
• Để biết thông tin tổng quan về quy trình xác thực và uỷ quyền trong Chat, hãy xem bài viết Tổng quan về quy trình xác thực.
• Thiết lập quy trình xác thực và cấp phép bằng thông tin đăng nhập của người dùng hoặc tài khoản dịch vụ.

gcloud functions add-invoker-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:chat@system.gserviceaccount.com'

String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(new ApacheHttpTransport(), factory)
        .setAudience(Collections.singletonList(AUDIENCE))
        .build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.getPayload().getEmailVerified()
    && idToken.getPayload().getEmail().equals(CHAT_ISSUER);

# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    token = id_token.verify_oauth2_token(bearer, request, AUDIENCE)
    return token['email'] == CHAT_ISSUER

except:
    return False

// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by chatIssuer, intended for a third party.
try {
  const ticket = await client.verifyIdToken({
    idToken: bearer,
    audience: audience
  });
  return ticket.getPayload().email_verified
      && ticket.getPayload().email === chatIssuer;
} catch (unused) {
  return false;
}

String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GooglePublicKeysManager keyManagerBuilder =
    new GooglePublicKeysManager.Builder(new ApacheHttpTransport(), factory)
        .setPublicCertsEncodedUrl(
            "https://www.googleapis.com/service_accounts/v1/metadata/x509/" + CHAT_ISSUER)
        .build();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(keyManagerBuilder).setIssuer(CHAT_ISSUER).build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.verifyAudience(Collections.singletonList(AUDIENCE))
    && idToken.verifyIssuer(CHAT_ISSUER);

# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    certs_url = 'https://www.googleapis.com/service_accounts/v1/metadata/x509/' + CHAT_ISSUER
    token = id_token.verify_token(bearer, request, AUDIENCE, certs_url)
    return token['iss'] == CHAT_ISSUER

except:
    return False

// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by CHAT_ISSUER, intended for a third party.
try {
  const response = await fetch('https://www.googleapis.com/service_accounts/v1/metadata/x509/' + chatIssuer);
  const certs = await response.json();
  await client.verifySignedJwtWithCertsAsync(
    bearer, certs, audience, [chatIssuer]);
  return true;
} catch (unused) {
  return false;
}