安全的 Google 重定向 URL

Question

我在获取用户信息和电子邮件的网站中启用了 Google 登录选项。我正在使用 适用于 PHP 的 Google API 客户端库。

我将重定向 URL 设置为

$client->setRedirectUri('http://login.example.com/authenticate/redirect_back');

在 Google Developers Console 中也是如此。所以在用户登录成功后谷歌重定向回

http://login.example.com/authenticate/redirect_back?code=4/gdtpUtOQ3ThblOTVnhEOtoeoeNRa.AqLKJLKDJxy_bnfDxpKmSx6cjgI

现在我的问题是“如果有人故意创建 code=4/xzzzz 怎么办？”因为谷歌公开展示了它将重定向到哪里（见截图链接|对不起，我不能以

Google Auth Screenshot

我用虚拟值尝试了自己，它得到了验证。但是在获取 UserInfo 时会抛出 invalid_grant 的致命错误。有没有办法在 Google 重定向回来之后验证代码值？

Answer 1

我猜您不需要保护 Google 重定向 URL。

因为身份验证流程清楚地表明，

once user grants the basic permission to access their data, user is redirected back to your website with Authentication code. The code is used to obtain Access Token, using Access Token the application can access current user data from Google, which could be used to register and login the user.

因此，如果用户尝试使用任意代码点击回调 URL，Google 将无法验证用户身份并为您提供 User Info 和 email 。因此，您将无法注册/登录用户。