email_verified = 来自 Google 的 ID 令牌中的 false

Question

我使用Google ID tokens 让用户登录我的网络服务。作为验证从 Google 收到的令牌的一部分，网络服务会检查令牌负载中的 email_verified = true。

我的一些用户 signed up for a Google-account 使用他们的非 Gmail、非 Google Apps 电子邮件地址。他们确实在注册后点击了 Google 发送给他们的电子邮件中的链接，以验证他们的电子邮件地址。

当这些用户尝试登录我的网络服务时，我在令牌的有效负载中得到 email_verified = false。

这是什么意思，在验证令牌时我可以/应该忽略它吗？

Answer 1

有几个不同的ways，您可以在其中验证服务器端 ID 令牌的完整性：

1. “手动”——不断下载谷歌的公钥，验证签名，然后是每一个字段，包括iss；我在这里看到的主要优势（尽管在我看来很小）是您可以最大限度地减少发送给 Google 的请求数量。
2. “自动” - 在 Google 的端点上执行 GET 以验证此令牌 https://www.googleapis.com/oauth2/v3/tokeninfo?id_token={0}
3. 使用 Google API 客户端库 - 例如 official one。

这可能是这样的：

private const string GoogleApiTokenInfoUrl = "https://www.googleapis.com/oauth2/v3/tokeninfo?id_token={0}";

public ProviderUserDetails GetUserDetails(string providerToken)
{
    var httpClient = new MonitoredHttpClient();
    var requestUri = new Uri(string.Format(GoogleApiTokenInfoUrl, providerToken));

    HttpResponseMessage httpResponseMessage;
    try
    {
        httpResponseMessage = httpClient.GetAsync(requestUri).Result;
    }
    catch (Exception ex)
    {
        return null;
    }

    if (httpResponseMessage.StatusCode != HttpStatusCode.OK)
    {
        return null;
    }

    var response = httpResponseMessage.Content.ReadAsStringAsync().Result;
    var googleApiTokenInfo = JsonConvert.DeserializeObject<GoogleApiTokenInfo>(response);

    if (!SupportedClientsIds.Contains(googleApiTokenInfo.aud))
    {
        Log.WarnFormat("Google API Token Info aud field ({0}) not containing the required client id", googleApiTokenInfo.aud);
        return null;
    }

    return new ProviderUserDetails
    {
        Email = googleApiTokenInfo.email,
        FirstName = googleApiTokenInfo.given_name,
        LastName = googleApiTokenInfo.family_name,
        Locale = googleApiTokenInfo.locale,
        Name = googleApiTokenInfo.name,
        ProviderUserId = googleApiTokenInfo.sub
    };
}