使用服务帐户和 OAuth 连接到 Google API

Question

我使用的环境不支持 GCP 客户端库。所以我想弄清楚如何使用手动制作的 JWT 令牌直接进行身份验证。

我已经从这里使用 nodeJS 测试环境调整了任务，用 jwa 来实现算法。

https://developers.google.com/identity/protocols/OAuth2ServiceAccount

私钥取自服务帐户文件的 JSON 版本。

当测试运行时，它会捕获一个非常基本的 400 错误，即“无效请求”。我不知道如何解决它。

有人可以帮忙找出我做错了什么吗？

var assert = require('assert');
const jwa = require('jwa');
const request = require('request-promise');

const pk = require('../auth/tradestate-2-tw').private_key;

const authEndpoint = 'https://www.googleapis.com/oauth2/v4/token';


describe('Connecting to Google API', function() {

    it('should be able to get an auth token for Google Access', async () => {
      assert(pk && pk.length, 'PK exists');
      const header = { alg: "RS256", typ: "JWT" };
      const body = {
        "iss":"salesforce-treasury-wine@tradestate-2.iam.gserviceaccount.com",
        "scope":"https://www.googleapis.com/auth/devstorage.readonly",
        "aud":"https://www.googleapis.com/oauth2/v4/token",
        "exp": new Date().getTime() + 3600 * 1000,
        "iat": new Date().getTime()
      };
      console.log(JSON.stringify(body, null, 2));
      const encodedHeader = Buffer.from(JSON.toString(header)).toString('base64')
      const encodedBody = Buffer.from(JSON.toString(body)).toString('base64');
      const cryptoString = `${encodedHeader}.${encodedBody}`;
      const algo = jwa('RS256');
      const signature = algo.sign(cryptoString, pk);
      const jwt = `${encodedHeader}.${encodedBody}.${signature}`;
      console.log('jwt', jwt);
      const headers = {'Content-Type': 'application/x-www-form-urlencoded'};
      const form = {
        grant_type: 'urn:ietf:params:oauth:grant-type:jwt-bearer',
        assertion: jwt
      };
      try { 
        const result = await request.post({url: authEndpoint, form, headers});
        assert(result, 'Reached result');
        console.log('Got result', JSON.stringify(result, null, 2));
      } catch (err) {
        console.log(JSON.stringify(err, null, 2));
        throw (err);
      }

    });
});

Answer 1

使用 JSON.stringify 而不是 JSON.toString。从您问题中的链接：

{"alg":"RS256","typ":"JWT"}

这个的Base64url表示如下：

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9

当使用 JSON.toString() 和 base64 编码时，您会得到 W29iamVjdCBKU09OXQ== 这解释了无效请求的 400，因为它无法解密您发送的任何内容。