Chrome 서드 파티 쿠키 지원 중단이 2024년 1분기에 시작됩니다. 이전 가이드에 따라 잠재적인 변경사항을 검토하고 사용자가 웹사이트에 로그인할 때 부정적인 영향을 받지 않도록 하세요.

이 페이지는 Cloud Translation API를 통해 번역되었습니다.

서버 측에서 Google ID 토큰 확인

Google이 ID 토큰을 반환하면 HTTP POST 메서드 요청으로 매개변수 이름이 credential인 ID 토큰을 로그인 엔드포인트에 제출합니다.

다음은 ID 토큰을 검증하고 사용하는 일반적인 단계를 보여주는 Python 언어의 예시입니다.

크로스 사이트 요청 위조 (CSRF) 토큰을 확인합니다. 로그인 엔드포인트에 사용자 인증 정보를 제출할 때 Google은 CSRF 공격을 방지하기 위해 이중 제출 쿠키 패턴을 사용합니다. 제출할 때마다 토큰이 생성됩니다. 그리고 나서 다음 코드 예에서와 같이 쿠키가 쿠키와 POST 본문 모두에 삽입됩니다.
```
csrf_token_cookie = self.request.cookies.get('g_csrf_token')
if not csrf_token_cookie:
    webapp2.abort(400, 'No CSRF token in Cookie.')
csrf_token_body = self.request.get('g_csrf_token')
if not csrf_token_body:
    webapp2.abort(400, 'No CSRF token in post body.')
if csrf_token_cookie != csrf_token_body:
    webapp2.abort(400, 'Failed to verify double submit cookie.')
```
ID 토큰을 확인합니다.

토큰이 유효한지 확인하려면 다음 기준이 충족되는지 확인하세요.
- Google에서 ID 토큰에 올바르게 서명했습니다. Google의 공개 키(JWK 또는 PEM 형식으로 제공)를 사용하여 토큰의 서명을 확인합니다. 이러한 키는 정기적으로 순환됩니다. 응답의 Cache-Control 헤더를 검사하여 언제 다시 검색해야 하는지 판단합니다.
- ID 토큰의 aud 값은 앱의 클라이언트 ID 중 하나와 동일합니다. 이 검사는 악성 앱에 발급된 ID 토큰이 앱의 백엔드 서버에 있는 동일한 사용자의 데이터에 액세스하는 데 사용되는 것을 방지하기 위해 필요합니다.
- ID 토큰의 iss 값이 accounts.google.com 또는 https://accounts.google.com입니다.
- ID 토큰의 만료 시간 (exp)이 지나지 않았습니다.
- ID 토큰이 Google Workspace 또는 Cloud 조직 계정을 나타내는지 확인해야 하는 경우 사용자의 호스팅된 도메인을 나타내는 hd 클레임을 확인하면 됩니다. 리소스에 대한 액세스를 특정 도메인의 구성원으로만 제한할 때 사용해야 합니다. 이 클레임이 없으면 계정이 Google 호스팅 도메인에 속하지 않는다는 의미입니다.
이러한 확인 단계를 수행하기 위해 코드를 직접 작성하는 대신 플랫폼에 맞는 Google API 클라이언트 라이브러리나 범용 JWT 라이브러리를 사용하는 것이 좋습니다. 개발 및 디버깅의 경우 tokeninfo 유효성 검사 엔드포인트를 호출할 수 있습니다.

Using a Google API Client Library

Using one of the Google API Client Libraries (e.g. Java, Node.js, PHP, Python) is the recommended way to validate Google ID tokens in a production environment.
Java

To validate an ID token in Java, use the GoogleIdTokenVerifier object. For example:
```
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}
```
The GoogleIdTokenVerifier.verify() method verifies the JWT signature, the aud claim, the iss claim, and the exp claim.

If you need to validate that the ID token represents a Google Workspace or Cloud organization account, you can verify the hd claim by checking the domain name returned by the Payload.getHostedDomain() method. The domain of the email claim is insufficient to ensure that the account is managed by a domain or organization.
Node.js

To validate an ID token in Node.js, use the Google Auth Library for Node.js. Install the library:
```
npm install google-auth-library --save
```
Then, call the verifyIdToken() function. For example:
```
const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If request specified a G Suite domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);
```
The verifyIdToken function verifies the JWT signature, the aud claim, the exp claim, and the iss claim.

If you need to validate that the ID token represents a Google Workspace or Cloud organization account, you can check the hd claim, which indicates the hosted domain of the user. This must be used when restricting access to a resource to only members of certain domains. The absence of this claim indicates that the account does not belong to a Google hosted domain.
PHP

To validate an ID token in PHP, use the Google API Client Library for PHP. Install the library (for example, using Composer):
```
composer require google/apiclient
```
Then, call the verifyIdToken() function. For example:
```
require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If request specified a G Suite domain:
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}
```
The verifyIdToken function verifies the JWT signature, the aud claim, the exp claim, and the iss claim.

If you need to validate that the ID token represents a Google Workspace or Cloud organization account, you can check the hd claim, which indicates the hosted domain of the user. This must be used when restricting access to a resource to only members of certain domains. The absence of this claim indicates that the account does not belong to a Google hosted domain.
Python

To validate an ID token in Python, use the verify_oauth2_token function. For example:
```
from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If auth request is from a G Suite domain:
    # if idinfo['hd'] != GSUITE_DOMAIN_NAME:
    #     raise ValueError('Wrong hosted domain.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass
```
The verify_oauth2_token function verifies the JWT signature, the aud claim, and the exp claim. You must also verify the hd claim (if applicable) by examining the object that verify_oauth2_token returns. If multiple clients access the backend server, also manually verify the aud claim.
핵심사항: ID 토큰은 g_csrf_token 필드 대신 credential 필드에 반환됩니다.
토큰의 유효성이 확인되면 Google ID 토큰의 정보를 사용하여 사이트의 계정 상태를 연관시킬 수 있습니다.
- 등록되지 않은 사용자: 필요한 경우 사용자가 추가 프로필 정보를 제공할 수 있는 가입 사용자 인터페이스(UI)를 표시할 수 있습니다. 또한 사용자가 새 계정과 로그인한 사용자 세션을 자동으로 만들 수 있습니다.
- 사이트에 이미 존재하는 기존 계정: 최종 사용자가 비밀번호를 입력하고 기존 계정을 Google 사용자 인증 정보와 연결할 수 있는 웹페이지를 표시할 수 있습니다. 이를 통해 사용자가 기존 계정에 액세스할 수 있음을 확인할 수 있습니다.
- 재가입 사용자: 사용자가 자동으로 로그인되도록 할 수 있습니다.

서버 측에서 Google ID 토큰 확인

Using a Google API Client Library