问题标签 [google-openidconnect]

我有一个 SPA 应用程序。每个客户端请求都包含Authorization: Bearer <access_token>从 google 检索到的https://developers.google.com/identity/protocols/OpenIDConnect（google创建 JWT 令牌）

验证端点（顺便说一下graphQL）时@jwt_required出现错误The specified alg value is not allowed

我尝试按照此处的状态调整配置选项，但没有运气。（基本上设置or到 RS256 但然后我得到要么JWT_ALGORITHMJWT_PUBLIC_KEYJWT_PUBLIC_KEY must be set to use asymmetric cryptography algorithm "RS256"Could not deserialize key data.

这里智威汤逊谷歌形状：

标题：

身体：

任何帮助表示赞赏！（尽管继续努力）

我们的应用程序允许用户使用 Google 帐户登录并使用 Google API 客户端库进行 ID 令牌验证。

根据Google doc，当范围包含范围值时，email声明应该包含在 ID 令牌有效负载中。email

但是，我注意到在某些情况下，email尽管包含范围值email_verified，但 ID 令牌有效负载中缺少声明。email

为什么会这样？我想 Google 帐户的个人资料上总是有一个经过验证的电子邮件地址。

我想要做什么

我正在尝试使用 Google 的说明实现Google OpenID Connect作为登录ASP.NET Core 3.1网站的一种方式：

https://developers.google.com/identity/protocols/oauth2/openid-connect#server-flow

在服务器流程的第 2 步（向 Google 发送身份验证请求）下，他们建议从其OpenID 发现文档中检索信息：

您应该使用元数据值从发现文档中检索基本 URI 。authorization_endpoint

我目前正在尝试动态反序列化JSON到 a Dictionary<string, string>by using Newtonsoft.Json。但这给了我一些问题（似乎无法反序列化 a JSON string array），我正在考虑改变我的策略，model为发现文档创建 a 并using System.Text.Json反序列化。

现在我的问题是

Google 的发现文档对导致我必须更新我的DiscoveryDocument.cs model.

困境

Newtonsoft.Json即使谷歌决定删除一个随机密钥，一切仍然可以正常工作。

但是System.Text.Json现在使用 对我来说是一种简单的方法，并且消除了对 Newtonsoft 库的依赖，但如果 Google 的 Discovery Document 发生更改，我以后可能会遇到麻烦。

我正在使用授权代码流作为依赖方集成到 Google OpenID Connect。如果我在 中发送无效参数AuthenticationRequest，例如 的无效值scope，Google 会在网页中显示错误，例如“某些请求的范围无效...”。

OpenID Connect 规范（和 OAuth 规范）明确指出：“除非重定向 URI 无效，否则授权服务器会将客户端返回到授权请求中指定的重定向 URI，并带有适当的错误和状态参数。”

我在请求中做错了什么，还是我误解了规范，或者 Google 只是在发送错误响应时不符合要求？

我正在尝试验证 Google 发送到我的应用程序的 JWT 令牌。我正在使用以下代码验证 JWT 令牌，但即使令牌有效，verifier.verify(token) 也始终返回 null。我已经在我拥有的另一个 NodeJS 代码中测试了令牌，它在 NodeJS 中运行良好，但在下面的 java 代码中我无法验证令牌。感谢您让我知道为什么 verifier.verify(token) 返回 null 的任何帮助。

我正在创建一个 Web 应用程序，我启用了使用 google openid connect 的登录并且它正在工作。现在我想用 access_token 保护资源（rest api），但我没有找到如何传递自定义受众（https://api.myapp.com）和自定义范围（阅读：用户添加：用户）来创建access_token，是否可以通过 google openid connect 创建自定义受众和范围以保护我的资源？

如果我不验证 access_token（受众和范围），我可能会破坏我的 Web 应用程序。

见下图。

提前致谢。

问候， 阿塞尼奥

根据这里的链接

1. 创建一个唯一的会话令牌，用于保存您的应用程序和用户客户端之间的状态。
2. 稍后将此唯一会话令牌与 Google OAuth 登录服务返回的身份验证响应进行匹配，以验证合法用户是否正在发出请求

问题：在向 google OAuth 登录服务发出请求时，中间人还可以嗅探我的包含状态的流量并将相同的唯一会话令牌发送回我的重定向 url。在这种情况下，如何理解对我的重定向 url 发出的请求是来自谷歌还是来自攻击者？

我打算使用 Google 作为我的 OAuth 服务器。我必须在我的用户配置文件中配置用户和角色，以便在我的资源服务器上执行授权。使用 Google/Facebook/Github 作为我的 Oauth2 服务器时，如何为用户配置我的应用程序域特定角色？