Google OpenID Connect：如何验证 id_token？

Question

我创建后端服务器，它从移动应用程序 (iOS) 获取 ID 令牌。如何验证此令牌是否正常并且可以安全使用？

Google 关于验证令牌的官方文档：

https://developers.google.com/identity/protocols/OpenIDConnect#validatinganidtoken

建议在本地验证 ID Token，无需向 Google 发送验证请求。是否可以像在文档中那样在本地检查 ID Token 中的某些字段，或者我是否应该向 Google 发送一些请求以验证令牌？

Google 文档提到了调试和验证 ID 令牌：

https://www.googleapis.com/oauth2/v3/tokeninfo?id_token=XYZ123

但不建议在生产中使用它。我还考虑过使用 Access Token 和 Id Token 并首先验证 Access Token：

https://www.googleapis.com/oauth2/v3/tokeninfo?access_token=

但它是否使验证客户凭据（移动应用程序、网络应用程序）的整个过程更加安全？

Answer 1

首先让我先说我不为 Google 工作。但是，自 2012 年以来，我一直在使用 Google Oauth2 进行开发。不久前，我问了一位 Google 员工这个问题。

他的建议是，如果您有一个刷新令牌，只需请求一个新的访问令牌。如果它不好，服务器将返回一个错误。如果您有访问令牌，则发送请求，如果它不正确，服务器将返回错误。

首先验证它并没有什么意义，您只需为每个请求发送两个请求到服务器。从长远来看，您要做的只是防止一小部分请求出现错误。

我从来没有为 id 令牌烦恼过。 Id 令牌是一个 jwt，所以我认为您应该可以打开它。

更新

您应该咨询Verifiy the integrity of the id token。

您也可以自己进行一些检查。 id 令牌是jwt，如果你解密它，你会得到或calling the tokeninfo endpoint

{
  "iss": "https://accounts.google.com",
  "azp": "407408718192.apps.googleusercontent.com",
  "aud": "407408718192.apps.googleusercontent.com",
  "sub": "11720055326",
  "at_hash": "HQVaIRLqmsjaTt8KoOIQ",
  "name": "Linda Lawton",
  "picture": "https://lh3.googleusercontent.com/a-/AAuE7mDuIWqXzrrp-65cIhXSD2HjCI8WYsWHR0fDx5_wQPY=s96-c",
  "given_name": "Linda",
  "family_name": "Lawton",
  "locale": "en",
  "iat": 1567751,
  "exp": 1567755
}

• iss 应该是https://accounts.google.com
• aud 将是您的应用程序的客户端 ID 7408718192.apps.googleusercontent.com
• at_hash 可能还有一些方法可以验证这一点，但我没有打扰