如何验证Google身份服务的响应

Question

我正在尝试使用Google登录用户，并且正在使用他们的身份服务，我在客户端使用以下代码。

google.accounts.id.initialize({
      client_id:
        "*********.apps.googleusercontent.com",
      callback: handleCallback,
    });

我得到的响应极为有限，因为在我获得

1. clientId
2. recertential
3. select_by

中，在解码凭据之后，我将使用

1. NBF
2. AUD
3. SUB
4. AZP
5. IAT
6. JTI

获得基本用户信息，我不知道这些是什么。 因此，当我将这些信息发送到服务器时，我可以轻松存储它们并生成一个ID，以将其发送回客户端以使用Cookie记录它们。但是，当用户登录并恢复原状时，如何在服务器中不做多个条目？如何在数据库中检查新用户已经拥有一个帐户。我认为我无法将传入的电子邮件地址与数据库中存储的电子邮件地址匹配，因为那将是安全风险。我如何实际验证对服务器的请求？

Answer 1

您应该阅读 verify ID iD token 在您使用哪个客户库的情况下，应该有一种可以调用的方法来验证它。

例如，java

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

在RFC rfc7519> rfc7519> rfc7519>

• “ sub”（主题）索赔 - 用户Google内部ID
• “ aud”（受众）索赔 - 令牌是谁。
• “ EXP”（到期时间）索赔 - 何时到期
• “ NBF”（不是之前）索赔 - 当它从
• “ IAT”（iat''（在）索赔中发行）时 - 何时发出
• “ JTI”（JWT ID）（JWT ID）索赔 - ID此索赔集。
• “ AZP”。授权政党 - 发行ID令牌的政党

是您的魔术主张。这将告诉您用户内部Google ID，因此，如果您将其与系统中的用户帐户一起存储在系统中。您将始终能够链接它们。这称为帐户链接。