email_verified = false в токене ID от Google

Question

Я использую Google ID tokens для входа пользователей в свой веб-сервис. В рамках проверки маркера, который он получает от Google, вебсервис проверяет, что email_verified = true в полезной нагрузке токена.

Некоторые из моих пользователей signed up for a Google-account со своим адресом электронной почты, отличным от Gmail, а не с Google Apps. Они нажали ссылку в письме, отправленном Google после регистрации, чтобы подтвердить свой адрес электронной почты.

Когда эти пользователи пытаются войти в мой веб-сервис, я получаю email_verified = false в полезной нагрузке маркера.

Что это значит и может/я должен игнорировать это при проверке токена?

Answer 1

Есть несколько различных ways, в котором вы можете проверить целостность ID маркера на стороне сервера:

1. «вручную» - постоянно загрузки открытых ключей Google, проверки подписи, а затем каждый поле, включая iss; основное преимущество (хотя и небольшое, на мой взгляд) я вижу здесь, что вы можете свести к минимуму количество запросов, отправленных в Google.
2. «Автоматически» - сделать GET на конечной точке Google, чтобы проверить этот маркер https://www.googleapis.com/oauth2/v3/tokeninfo?id_token={0}
3. Использование библиотеки Google API клиента - как official one.

Вот как это может выглядеть:

private const string GoogleApiTokenInfoUrl = "https://www.googleapis.com/oauth2/v3/tokeninfo?id_token={0}"; 

public ProviderUserDetails GetUserDetails(string providerToken) 
{ 
    var httpClient = new MonitoredHttpClient(); 
    var requestUri = new Uri(string.Format(GoogleApiTokenInfoUrl, providerToken)); 

    HttpResponseMessage httpResponseMessage; 
    try 
    { 
     httpResponseMessage = httpClient.GetAsync(requestUri).Result; 
    } 
    catch (Exception ex) 
    { 
     return null; 
    } 

    if (httpResponseMessage.StatusCode != HttpStatusCode.OK) 
    { 
     return null; 
    } 

    var response = httpResponseMessage.Content.ReadAsStringAsync().Result; 
    var googleApiTokenInfo = JsonConvert.DeserializeObject<GoogleApiTokenInfo>(response); 

    if (!SupportedClientsIds.Contains(googleApiTokenInfo.aud)) 
    { 
     Log.WarnFormat("Google API Token Info aud field ({0}) not containing the required client id", googleApiTokenInfo.aud); 
     return null; 
    } 

    return new ProviderUserDetails 
    { 
     Email = googleApiTokenInfo.email, 
     FirstName = googleApiTokenInfo.given_name, 
     LastName = googleApiTokenInfo.family_name, 
     Locale = googleApiTokenInfo.locale, 
     Name = googleApiTokenInfo.name, 
     ProviderUserId = googleApiTokenInfo.sub 
    }; 
}