Cách thích hợp để xác thực mã thông báo OAuth được cấp cho google trong máy chủ node.js là gì?

Question

Tôi đang cố gắng để xác thực một ứng dụng di động cho nền tảng Android để tùy chỉnh một Node.js api máy chủ. Tôi muốn sử dụng mã thông báo Google OAuth2 cho việc này thay vì cuộn xác thực của riêng tôi, vì các thiết bị Android được cài đặt Google Play làm cho ứng dụng này khả dụng cho nhà phát triển ứng dụng. Tôi đang sử dụng cuộc gọi GoogleAuthUtil.getToken từ thư viện Google Play Services, tài liệu here. Tôi đang cố gắng làm theo lời khuyên được nêu trong số android developers blogpost

Phương thức getToken này sẽ trả lại trong trường hợp của tôi là chuỗi dài 857 byte. Nếu tôi cố gắng để vượt qua thẻ này để TokenInfo endpoint của Google, nó sẽ trả về:

{ 'lỗi': 'invalid_token', 'ERROR_DESCRIPTION': 'Giá trị không hợp lệ'}

Tôi đang làm gì sai đây? Trong 'phạm vi' của cuộc gọi getToken, Tôi gửi: audience:server:client_id:**i_put_my_clientid_here**. Tôi có một clientid được tạo cho "ứng dụng đã cài đặt". Sử dụng id ứng dụng khách này, lệnh gọi hàm getToken không hoạt động. Khi tôi tạo ra một id khách hàng cho một "tài khoản dịch vụ", cuộc gọi thành công, nhưng tôi nhận được một thẻ 857 byte mà không thành công khi truyền cho các thiết bị đầu cuối TokenInfo như đã mô tả ở trên.

EDIT: Tôi cũng đã tạo id ứng dụng cho "ứng dụng web", vì có vẻ như đây là id ứng dụng khách thích hợp để sử dụng khi gọi getToken. Nhưng hành vi là như nhau, tôi lấy lại một mã thông báo byte 857 không xác thực khi gọi đến điểm cuối của Google.

Làm thế nào tôi có thể đúng cách nhận mã auth hợp lệ sử dụng dịch vụ Google Play trên Android? Khi tôi có đúng mã thông báo, thư viện node.js thích hợp để xác thực bên máy chủ đó là gì? Tôi có thể sử dụng passport-google-oauth không?

Answer 1

Nếu bạn chỉ muốn đọc nội dung của dữ liệu được trả về GoogleAuthUtil.getToken thì quá trình này rất đơn giản. Dữ liệu trả về đơn giản chỉ là một JWT. Vì vậy, tất cả những gì bạn phải làm là tách dữ liệu theo ký tự . và sau đó giải mã base64 (url) mỗi phần.

Sẽ phức tạp hơn một chút nếu bạn muốn xác minh tính xác thực của thư. Chỉ cần sử dụng thư viện mật mã yêu thích của bạn để thực hiện xác minh. Thành phần thứ 3 của JWT là chữ ký của dữ liệu và the Google certs are publicly available; đó là tất cả những gì bạn cần để xác minh tin nhắn.

Answer 2

Tôi không quá quen thuộc với các chi tiết về cách Android hoạt động liên quan đến việc chuyển mã thông báo từ thiết bị đến máy chủ. Tuy nhiên, ấn tượng chung của tôi là bạn không trải qua điệu nhảy OAuth dựa trên web điển hình. Thay vào đó, bạn trực tiếp gọi điểm cuối "thông tin người dùng", sẽ trả về thông tin tương ứng với người dùng chứa mã thông báo hoặc từ chối yêu cầu nếu mã thông báo không hợp lệ. Có một số cuộc thảo luận về câu hỏi có liên quan này:

validating Android's authToken on third party server

Trong thực tế, các dấu hiệu trở thành một bí mật được chia sẻ giữa hai thiết bị và máy chủ của bạn, vì vậy quan trọng của nó để bảo vệ nó.

Có một vài chiến lược cho Facebook và Twitter đã được phát triển để làm những việc tương tự như sử dụng thẻ từ các thiết bị iOS:

https://github.com/drudge/passport-twitter-token
https://github.com/drudge/passport-facebook-token

Bạn có thể mất một số cảm hứng từ họ và tinh chỉnh nó để nói chuyện đến điểm cuối của Google. Hãy cho tôi biết cách này hóa ra. Tôi rất muốn thấy một chiến lược "hộ chiếu-google-token" tương tự, vì vậy nếu bạn triển khai một chiến dịch, hãy cho tôi biết và tôi sẽ liên kết với nó!

Answer 3

Hm, đây thực sự là một lời nhận xét chứ không phải là một câu trả lời, nhưng tôi không thể đưa dòng mới trong những:

1. nó phải là web-side Clent ID mà đi ở vị trí put_my_clientid_here
2. nếu GoogleAuthUtil.getToken() cung cấp cho bạn một chuỗi withou ném một ngoại lệ, nó thực sự phải hợp lệ. Khi bạn nhấn tokeninfo, bạn có sử dụng ... tokeninfo không? Id_token = < 857-byte-value-here>
3. nếu bạn là người ruby, hãy lấy đá quý google-id-token và xem liệu nó có thể xác thực 857 của bạn không -byte token.

Answer 4

Đối với một tuần tôi đã được tìm kiếm vào làm thế nào để xác nhận GoogleAuthUtil mã thông báo nhận được trong ứng dụng Client Android tại máy chủ Node.js sử dụng passport.js

Cuối cùng tôi đi qua hộ chiếu-google-dấu hiệu chiến lược hộ chiếu mà hoàn toàn thực hiện bài tập.

https://www.npmjs.com/package/passport-google-token

Chi tiết khác có trong liên kết ở trên.

Answer 5

SDK nút chính thức cho phép bạn thực hiện điều đó ngay bây giờ.

Đây là liên kết: https://github.com/google/google-auth-library-nodejs/blob/master/lib/auth/oauth2client.js#L384