Google 的 OAuth 2.0 API 可用于身份验证和授权。本文档介绍了用于身份验证的 OAuth 2.0 实现，该实现符合 OpenID Connect 规范，并已通过 OpenID 认证。使用 OAuth 2.0 访问 Google API 中的文档也适用于此服务。如果您想以交互方式探索此协议，建议您使用 Google OAuth 2.0 Playground。 如需在 Stack Overflow 上获取帮助，请使用“google-oauth”标记您的问题。
设置 OAuth 2.0
在您的应用可以使用 Google 的 OAuth 2.0 身份验证系统进行用户登录之前，您必须在 Google API Console 中设置一个项目来获取 OAuth 2.0 凭据、设置重定向 URI，并（可选）自定义用户在同意屏幕上显示的品牌信息。您还可以使用 API Console 创建服务帐号、启用结算功能、设置过滤以及执行其他任务。如需了解详情，请参阅 Google API Console帮助。
获取 OAuth 2.0 凭据
您需要使用 OAuth 2.0 凭据（包括客户端 ID 和客户端密钥）对用户进行身份验证并获取对 Google API 的访问权限。
要查看给定OAuth 2.0凭据的客户端ID和客户端密钥，请单击以下文本： 选择凭据 。在打开的窗口中，选择您的项目和所需的凭证，然后单击“ 查看” 。
或者，从API Console的“ 凭据”页面中查看您的客户端ID和客户端密钥：
- Go to the Credentials page.
- 单击您的凭证名称或铅笔（ create ）图标。您的客户ID和密码位于页面顶部。
设置重定向 URI
您在 API Console 中设置的重定向 URI 决定了 Google 将对您的身份验证请求的响应发送到何处。
要创建，查看或编辑给定OAuth 2.0凭据的重定向URI，请执行以下操作：
- Go to the Credentials page.
- 在页面的OAuth 2.0客户端ID部分中，点击一个凭据。
- 查看或编辑重定向URI。
如果“凭据”页面上没有OAuth 2.0客户端ID部分，则您的项目没有OAuth凭据。要创建一个，点击创建凭证 。
自定义用户同意屏幕
对于您的用户，OAuth 2.0 身份验证体验包括一个同意屏幕，其中描述了用户要发布的信息以及适用的条款。例如，当用户登录时，系统可能会要求他们向您的应用授予对其电子邮件地址和基本帐号信息的访问权限。您可以使用 scope 参数来请求访问这些信息，您的应用会在其身份验证请求中包含此参数。您还可以使用范围来请求对其他 Google API 的访问权限。
用户同意屏幕还会显示品牌信息，例如您的产品名称、徽标和首页网址。您可以在 API Console中控制品牌信息。
要启用项目的同意屏幕：
- 在Consent Screen page中打开Google API Console 。
- If prompted, select a project, or create a new one.
- 填写表格，然后点击保存 。
以下意见征求对话框显示了当请求中存在 OAuth 2.0 和 Google 云端硬盘范围组合时用户会看到的内容。（此通用对话框是使用 Google OAuth 2.0 Playground 生成的，因此不包含可在 API Console中设置的品牌信息。）
访问服务
Google 和第三方提供了相应的库，供您处理有关对用户进行身份验证以及获得对 Google API 的访问权限的许多实现细节。例如 Google Identity 服务和 Google 客户端库（适用于多种平台）。
如果您选择不使用某个库，请按照本文档其余部分中的说明进行操作，该部分介绍了可用库底层的 HTTP 请求流程。
对用户进行身份验证
对用户进行身份验证涉及获取 ID 令牌并验证它。ID 令牌是 OpenID Connect 的一项标准化功能，旨在用于在互联网上共享身份断言。
验证身份和获取 ID 令牌的最常用方法称为“服务器”流程和“隐式”流程。该服务器流程允许应用的后端服务器使用浏览器或移动设备验证用户的身份。当客户端应用（通常是在浏览器中运行的 JavaScript 应用）需要直接访问 API（而不是通过其后端服务器）访问 API 时，会使用隐式流程。
本文档介绍如何执行服务器流程以验证用户身份。由于在客户端处理和使用令牌存在安全风险，隐式流程要复杂得多。如果您需要实现隐式流程，我们强烈建议您使用 Google Identity 服务。
服务器流程
请务必在 API Console中设置您的应用，使其能够使用这些协议并对用户进行身份验证。当用户尝试使用 Google 帐号登录时，您需要：
1. 创建防伪造状态令牌
您必须防范请求伪造攻击，来保护用户的安全。第一步是创建一个唯一的会话令牌，用于存储应用和用户客户端之间的状态。您稍后将此唯一会话令牌与 Google OAuth 登录服务返回的身份验证响应进行匹配，以验证用户发出的请求不是恶意攻击者。这些令牌通常称为跨站请求伪造 (CSRF) 令牌。
状态令牌的一个不错的选择是使用高质量随机数生成器构造的大约 30 个字符的字符串。另一个是利用在后端保密的密钥对一些会话状态变量进行签名而生成的哈希。
以下代码演示了如何生成唯一的会话令牌。
PHP
您必须下载适用于 PHP 的 Google API 客户端库，才能使用此示例。
// Create a state token to prevent request forgery.
// Store it in the session for later validation.
$state = bin2hex(random_bytes(128/8));
$app['session']->set('state', $state);
// Set the client ID, token state, and application name in the HTML while
// serving it.
return $app['twig']->render('index.html', array(
'CLIENT_ID' => CLIENT_ID,
'STATE' => $state,
'APPLICATION_NAME' => APPLICATION_NAME
));
Java
您必须下载适用于 Java 的 Google API 客户端库，才能使用此示例。
// Create a state token to prevent request forgery.
// Store it in the session for later validation.
String state = new BigInteger(130, new SecureRandom()).toString(32);
request.session().attribute("state", state);
// Read index.html into memory, and set the client ID,
// token state, and application name in the HTML before serving it.
return new Scanner(new File("index.html"), "UTF-8")
.useDelimiter("\\A").next()
.replaceAll("[{]{2}\\s*CLIENT_ID\\s*[}]{2}", CLIENT_ID)
.replaceAll("[{]{2}\\s*STATE\\s*[}]{2}", state)
.replaceAll("[{]{2}\\s*APPLICATION_NAME\\s*[}]{2}",
APPLICATION_NAME);
Python
必须下载适用于 Python 的 Google API 客户端库，才能使用此示例。
# Create a state token to prevent request forgery.
# Store it in the session for later validation.
state = hashlib.sha256(os.urandom(1024)).hexdigest()
session['state'] = state
# Set the client ID, token state, and application name in the HTML while
# serving it.
response = make_response(
render_template('index.html',
CLIENT_ID=CLIENT_ID,
STATE=state,
APPLICATION_NAME=APPLICATION_NAME))
2. 向 Google 发送身份验证请求
下一步是使用适当的 URI 参数构建 HTTPS GET 请求。请注意，在此过程的所有步骤中，使用的是 HTTPS 而非 HTTP；HTTP 连接会被拒绝。您应使用 authorization_endpoint 元数据值从发现文档中检索基本 URI。以下讨论假定基本 URI 为 https://accounts.google.com/o/oauth2/v2/auth。
对于基本请求，请指定以下参数：
client_id（从 API Console Credentials page获取）。response_type，在基本授权代码流程请求中，它应为code。（如需了解详情，请访问response_type。）scope，在基本请求中应为openid email。（如需了解详情，请访问scope。）redirect_uri应该是您将从 Google 接收响应的服务器上的 HTTP 端点。该值必须与您在 OAuth 2.0 客户端中配置的其中一个已获授权的重定向 URI 完全匹配，该 URI 已在 API Console Credentials page中配置。如果此值与已获授权的 URI 不匹配，则请求将失败并显示redirect_uri_mismatch错误。state应包含防伪造唯一会话令牌的值，以及在用户返回到您的应用时恢复上下文所需的任何其他信息，例如起始网址。（如需了解详情，请访问state。）nonce是由您的应用生成的随机值，用于启用重放攻击防范（如果存在）。login_hint可以是用户的电子邮件地址或sub字符串，这与用户的 Google ID 等效。如果您未提供login_hint，而用户当前已登录，则同意屏幕会包含一条请求，提示您批准将用户的电子邮件地址释放到您的应用中。（如需了解详情，请访问login_hint。）- 使用
hd参数，为与 Google Cloud 组织关联的特定网域的用户优化 OpenID Connect 流程。（如需了解详情，请访问hd。）
下面是一个完整的 OpenID Connect 身份验证 URI 的示例，其中含有换行符和空格，以方便阅读：
https://accounts.google.com/o/oauth2/v2/auth? response_type=code& client_id=424911365001.apps.googleusercontent.com& scope=openid%20email& redirect_uri=https%3A//oauth2.example.com/code& state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foauth2-login-demo.example.com%2FmyHome& login_hint=jsmith@example.com& nonce=0394852-3190485-2490358& hd=example.com
如果您的应用会请求用户的新信息，或者用户之前未批准应用请求帐号访问权限，则必须征得用户同意。
3. 确认防伪造状态令牌
系统会将响应发送到您在请求中指定的 redirect_uri。所有响应都会在查询字符串中返回，如下所示：
https://oauth2.example.com/code?state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foa2cb.example.com%2FmyHome&code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7&scope=openid%20email%20https://www.googleapis.com/auth/userinfo.email
在服务器上，您必须确认从 Google 收到的 state 与您在第 1 步中创建的会话令牌匹配。这种往返验证有助于确保发出请求的是用户，而不是恶意脚本。
以下代码演示了如何确认您在第 1 步中创建的会话令牌：
PHP
您必须下载适用于 PHP 的 Google API 客户端库，才能使用此示例。
// Ensure that there is no request forgery going on, and that the user
// sending us this connect request is the user that was supposed to.
if ($request->get('state') != ($app['session']->get('state'))) {
return new Response('Invalid state parameter', 401);
}
Java
您必须下载适用于 Java 的 Google API 客户端库，才能使用此示例。
// Ensure that there is no request forgery going on, and that the user
// sending us this connect request is the user that was supposed to.
if (!request.queryParams("state").equals(
request.session().attribute("state"))) {
response.status(401);
return GSON.toJson("Invalid state parameter.");
}
Python
必须下载适用于 Python 的 Google API 客户端库，才能使用此示例。
# Ensure that the request is not a forgery and that the user sending
# this connect request is the expected user.
if request.args.get('state', '') != session['state']:
response = make_response(json.dumps('Invalid state parameter.'), 401)
response.headers['Content-Type'] = 'application/json'
return response
4. 用 code 换取访问令牌和 ID 令牌
响应包含一个 code 参数，这是一个一次性授权代码，您的服务器可以使用该参数来交换访问令牌和 ID 令牌。您的服务器通过发送 HTTPS POST 请求进行此交换。POST 请求会发送到令牌端点，您应该使用 token_endpoint 元数据值从发现文档中检索该端点。以下讨论假定端点为 https://oauth2.googleapis.com/token。请求必须在 POST 正文中包含以下参数：
| 字段 | |
|---|---|
code |
从初始请求返回的授权代码。 |
client_id |
您从 Credentials page API Console获取的客户端 ID，如获取 OAuth 2.0 凭据中所述。 |
client_secret |
您从 API Console Credentials page获取的客户端密钥，如获取 OAuth 2.0 凭据中所述。 |
redirect_uri |
在 API Console
Credentials page中指定的指定 client_id 的授权重定向 URI（如设置重定向 URI 中所述）。 |
grant_type |
此字段必须包含 authorization_code 值（
如 OAuth 2.0 规范中所定义）。 |
实际请求可能如以下示例所示：
POST /token HTTP/1.1 Host: oauth2.googleapis.com Content-Type: application/x-www-form-urlencoded code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7& client_id=your-client-id& client_secret=your-client-secret& redirect_uri=https%3A//oauth2.example.com/code& grant_type=authorization_code
此请求的成功响应会包含 JSON 数组中的以下字段：
| 字段 | |
|---|---|
access_token |
可发送到 Google API 的令牌。 |
expires_in |
访问令牌的剩余生命周期（以秒为单位）。 |
id_token |
一个 JWT，其中包含由 Google 进行数字签名的用户的身份信息。 |
scope |
access_token 授予的访问权限范围，表示为以空格分隔且区分大小写的字符串列表。 |
token_type |
标识返回的令牌类型。目前，此字段的值始终为 Bearer。 |
refresh_token |
（可选）
仅当身份验证请求中的 |
5. 从 ID 令牌获取用户信息
ID 令牌是一个 JWT（JSON 网络令牌），即经过加密签名的 Base64 编码 JSON 对象。通常，必须先验证 ID 令牌，然后再使用它。但是由于您通过无中间方的 HTTPS 通道直接与 Google 通信，并使用您的客户端密钥向 Google 进行身份验证，因此您可以确信您收到的令牌确实来自 Google 且是有效的。如果您的服务器将 ID 令牌传递给应用的其他组件，请务必确保其他组件在使用令牌之前验证令牌。
由于大多数 API 库都会将验证与解码 base64url 编码的值并解析其中 JSON 的任务结合在一起，因此在您访问 ID 令牌中的声明时，您最终还是可能会验证令牌。
ID 令牌的载荷
ID 令牌是包含一组名称/值对的 JSON 对象。下面是一个采用可读格式的示例：
{
"iss": "https://accounts.google.com",
"azp": "1234987819200.apps.googleusercontent.com",
"aud": "1234987819200.apps.googleusercontent.com",
"sub": "10769150350006150715113082367",
"at_hash": "HK6E_P6Dh8Y93mRNtsDB1Q",
"hd": "example.com",
"email": "jsmith@example.com",
"email_verified": "true",
"iat": 1353601026,
"exp": 1353604926,
"nonce": "0394852-3190485-2490358"
}
Google ID 令牌可能包含以下字段（称为声明）：
| 领取 | 已提供 | 说明 |
|---|---|---|
aud |
始终 | 此 ID 令牌所面向的受众群体。它必须是应用的 OAuth 2.0 客户端 ID 之一。 |
exp |
始终 | 失效时间，在该时间或此日期过后，不得接受 ID 令牌。以 Unix 时间（整数秒数）表示。 |
iat |
始终 | ID 令牌的发放时间。以 Unix 时间（整数秒数）表示。 |
iss |
始终 | 响应签发方的发卡机构标识符。对于 Google ID 令牌，始终为 https://accounts.google.com 或 accounts.google.com。 |
sub |
始终 | 用户的标识符，在所有 Google 帐号中是唯一的，且不得重复使用。一个 Google 帐号在不同的时间点可以有多个电子邮件地址，但 sub 值永不更改。在您的应用中使用 sub 作为用户的唯一标识符键。长度上限为 255 个（区分大小写）ASCII 字符。 |
at_hash |
访问令牌哈希。提供访问令牌是否与身份令牌绑定的验证。如果 ID 令牌是使用服务器流中的 access_token 值颁发的，则始终包含此声明。此声明可用作防止跨网站请求伪造攻击的替代机制，但如果您执行第 1 步和第 3 步，则无需验证访问令牌。 |
|
azp |
授权 Presenter 的 client_id。只有当 ID 令牌的请求方与 ID 令牌的受众群体不同时，才需要此声明。在 Google 的混合应用中，可能会发生这种情况，其中 Web 应用和 Android 应用具有不同的 OAuth 2.0 client_id，但共用同一个 Google API 项目。 |
|
email |
用户的电子邮件地址。此值对该用户可能不是唯一的，不适合用作主键。仅当您的范围包含 email 范围值时提供。 |
|
email_verified |
如果用户的电子邮件地址已通过验证，则为 true；否则为 false。 | |
family_name |
用户的姓氏。在存在 name 声明时可以提供。 |
|
given_name |
用户的名字或名字。在存在 name 声明时可以提供。 |
|
hd |
与用户所在 Google Cloud 组织关联的网域。仅当用户属于 Google Cloud 组织时提供。 | |
locale |
用户语言区域，由 BCP 47 语言标记表示。
可在存在 name 声明时提供。 |
|
name |
用户的全名（采用可显示的形式）。可在满足以下条件时提供：
当存在 |
|
nonce |
您的应用在身份验证请求中提供的 nonce 值。您应确保该值仅出现一次，以防范重放攻击。 |
|
picture |
用户个人资料照片的网址。可在满足以下条件时提供：
当存在 |
|
profile |
用户个人资料网页的网址。可在满足以下条件时提供：
当存在 |
6. 对用户进行身份验证
从 ID 令牌获取用户信息后，您应查询应用的用户数据库。如果该用户已存在于您的数据库中，且 Google API 响应满足了所有登录要求，您就应该为该用户启动一个应用会话。
如果用户数据库中不存在该用户，您应将用户重定向到新用户注册流程。您或许可以根据从 Google 收到的信息自动注册用户，或者至少可以预先填充注册表单中要求的许多字段。除了 ID 令牌中的信息之外，您还可以在我们的用户个人资料端点上获取其他用户个人资料信息。
高级主题
以下各部分更详细地介绍了 Google OAuth 2.0 API。本文面向在身份验证和授权方面有高级要求的开发者。
访问其他 Google API
使用 OAuth 2.0 进行身份验证的好处之一是，在您验证用户身份的同时，您的应用可以获得代表用户使用其他 Google API（例如 YouTube、Google 云端硬盘、日历或通讯录）的权限。为此，请在发送给 Google 的身份验证请求中添加您所需的其他范围。例如，如需在身份验证请求中添加用户的年龄段，请传递一个范围参数 openid email https://www.googleapis.com/auth/profile.agerange.read。系统会在同意屏幕上以适当方式提示用户。利用您从 Google 收回的访问令牌，您可以访问与您请求并授予的访问权限范围相关的所有 API。
刷新令牌
在申请 API 访问权限的请求中，您可以请求刷新令牌，以便在交换 code 期间返回该令牌。当用户未在您的应用中使用时，刷新令牌可让您的应用持续访问 Google API。如需请求刷新令牌，请在身份验证请求中添加将 access_type 参数设置为 offline。
注意事项：
- 请务必安全永久存储刷新令牌，因为您只有在首次执行代码交换流程时才能获取刷新令牌。
- 可以发放的刷新令牌的数量有限制：每个客户端/用户组合一个限制，以及一个适用于所有客户端的每个用户。如果您的应用请求的刷新令牌过多，可能会受到这些限制，之后较旧的刷新令牌将停止工作。
如需了解详情，请参阅刷新访问令牌（离线访问）。
提示重新同意
您可以在身份验证请求中将 prompt 参数设置为 consent，提示用户重新授权应用。如果添加了 prompt=consent，则每当您的应用请求访问范围的授权时，系统都会显示同意屏幕，即使之前已向您的 Google API 项目授予了所有范围，也是如此。因此，请仅在必要时包含 prompt=consent。
如需详细了解 prompt 参数，请参阅身份验证 URI 参数表中的 prompt。
身份验证 URI 参数
下表详细说明了 Google 的 OAuth 2.0 身份验证 API 所接受的参数。
| 参数 | 必需 | 说明 |
|---|---|---|
client_id |
（必填） | 您从 API Console Credentials page获取的客户端 ID 字符串，如获取 OAuth 2.0 凭据中所述。 |
nonce |
（必填） | 由您的应用生成的随机值，用于启用重放攻击防范。 |
response_type |
（必填） | 如果值为 code，则会启动基本授权代码流程，需要对令牌端点执行 POST 操作以获取令牌。如果值为 token id_token 或 id_token token，则启动隐式流，以要求在重定向 URI 中使用 JavaScript，以从 URI #fragment 标识符中检索令牌。 |
redirect_uri |
（必填） | 确定响应将发送到何处。此参数的值必须与您在 API Console Credentials page 中设置的某个授权重定向值完全匹配（包括 HTTP 或 HTTPS 架构、大小写，以及末尾的“/”（如果有）。 |
scope |
（必填） | 范围参数必须以 如果存在 如果存在 除了这些特定于 OpenID 的范围之外，您的范围参数还可以包含其他范围值。所有范围值都必须用空格分隔。例如，如果您希望按文件访问用户的 Google 云端硬盘，则范围参数可以是 如需了解可用范围，请参阅 Google API 的 OAuth 2.0 范围或您要使用的 Google API 的文档。 |
state |
（可选，但强烈建议） | 在协议中往返的不透明字符串；也就是说，它会作为 URI 参数在基本流中返回，并在隐式流中的 URI
|
access_type |
（可选） | 允许的值包括 offline 和 online。有关影响，请参阅离线访问；如果正在请求访问令牌，则除非指定了 offline 值，否则客户端不会收到刷新令牌。 |
display |
（可选） | 用于指定授权服务器如何显示身份验证和意见征求界面页面的 ASCII 字符串值。以下值由 Google 服务器指定并接受，但对其行为没有任何影响：page、popup、touch 和 wap。 |
hd |
（可选） | 简化 Google Cloud 组织所拥有的帐号的登录流程。通过添加 Google Cloud 组织网域（例如 mycollege.edu），您可以指示应针对该网域中的帐号优化帐号选择界面。如需针对 Google Cloud 组织帐号通常进行优化，而不是仅针对一个 Google Cloud 组织网域进行优化，请将星号 ( 请勿依赖此界面优化来控制哪些用户可以访问您的应用，因为客户端请求可以被修改。请务必validate返回的 ID 令牌是否具有与您预期的内容相匹配的 |
include_granted_scopes |
（可选） | 如果为此参数提供值 true，并且授权请求获得批准，则授权将包括之前针对其他范围授予此用户/应用组合的所有授权；请参阅增量授权。请注意，您不能对“已安装的应用”流程执行增量授权。 |
login_hint |
（可选） | 当您的应用知道它正尝试对哪个用户进行身份验证时，它可以将此参数作为提示提供给身份验证服务器。传递此提示会禁用帐号选择器，并且会预填充登录表单上的电子邮件框或选择适当的会话（如果用户使用的是多帐号登录），这有助于避免您的应用登录了错误的用户帐号时发生的问题。
该值可以是电子邮件地址，也可以是 sub 字符串，相当于用户的 Google ID。 |
prompt |
（可选） | 一个用空格分隔的字符串值列表，用于指定授权服务器是否提示用户重新进行身份验证和征求同意。可能的值包括：
如果未指定值，并且用户之前未授予过访问权限，则系统会向用户显示同意屏幕。 |
验证 ID 令牌
您需要验证服务器上的所有 ID 令牌，除非您知道这些令牌直接来自 Google。例如，您的服务器必须验证从客户端应用收到的所有 ID 令牌的真实性。
以下是您可能会向服务器发送 ID 令牌的常见情况：
- 发送带有需要身份验证的请求的 ID 令牌。ID 令牌会告诉您发出请求的特定用户以及授予了该 ID 令牌的客户端。
ID 令牌比较敏感，如果被拦截，可能会被滥用。您必须仅通过 HTTPS 且仅通过 POST 数据或在请求标头内传输这些令牌，以确保这些令牌得到安全处理。如果您将 ID 令牌存储在服务器上，则还必须安全地存储这些令牌。
ID 令牌的实用性在于，您可以在应用的不同组件之间传递 ID。这些组件可以将 ID 令牌用作应用和用户身份验证的轻量级身份验证机制。但是，在使用 ID 令牌中的信息或将其用作用户已通过身份验证的断言之前，您必须对其进行验证。
验证 ID 令牌需要执行以下几个步骤：
- 验证发卡机构正确签署了 ID 令牌。使用发现文档的
jwks_uri元数据值中指定的 URI 处提供的其中一个证书对 Google 颁发的令牌进行签名。 - 验证 ID 令牌中
iss声明的值是否等于https://accounts.google.com或accounts.google.com。 - 验证 ID 令牌中
aud声明的值是否与应用的客户端 ID 相等。 - 验证 ID 令牌的过期时间（
exp声明）是否未过。 - 如果您在请求中指定了 hd 参数值，请验证 ID 令牌是否具有
hd声明，该声明与 Google Cloud 组织关联的已接受网域匹配。
第 2 步到第 5 步仅涉及字符串和日期比较，这两个步骤相当简单，因此我们在此不作详细介绍。
第一步比较复杂，涉及加密签名检查。出于调试目的，您可以使用 Google 的 tokeninfo 端点与您的服务器或设备上实现的本地处理进行比较。假设您的 ID 令牌的值为 XYZ123。然后，您需要解引用 URI https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123。如果令牌签名有效，则响应将是其解码的 JSON 对象形式的 JWT 载荷。
tokeninfo 端点对于调试非常有用，但对于生产环境，可以从密钥端点检索 Google 的公钥并在本地执行验证。您应该使用 jwks_uri 元数据值从发现文档中检索密钥 URI。对调试端点的请求可能会受到限制，或者出现间歇性错误。
由于 Google 很少更改公钥，因此您可以使用 HTTP 响应的缓存指令对其进行缓存，并且在绝大多数情况下，执行本地验证比使用 tokeninfo 端点更高效地执行。此验证需要检索和解析证书，并进行适当的加密调用来检查签名。幸运的是，您可以使用多种语言且经过精心调试的库来实现此目的（请参阅 jwt.io）。
获取用户个人资料信息
要获取有关用户的其他个人资料信息，您可以使用访问令牌（您的应用在身份验证流程中收到的该访问令牌）和 OpenID Connect 标准：
为了符合 OpenID 规范，您必须在身份验证请求中添加
openid profile范围值。如果您希望包含用户的电子邮件地址，可以另外指定一个范围值
email。如需同时指定profile和email，您可以在身份验证请求 URI 中添加以下参数：scope=openid%20profile%20email
- 将访问令牌添加到授权标头，并向 userinfo 端点发出 HTTPS
GET请求，您应使用userinfo_endpoint元数据值从发现文档中检索该端点。userinfo 响应包含用户相关信息，如OpenID Connect Standard Claims和 Discovery 文档的claims_supported元数据值中所述。用户或其组织可以选择提供或拒绝提供某些字段，因此您可能无法获得已授权的访问权限范围的每个字段的信息。
发现文档
OpenID Connect 协议需要使用多个端点来验证用户身份和请求资源（包括令牌、用户信息和公钥）。
为简化实现并提高灵活性，OpenID Connect 允许使用“发现文档”，这是一种 JSON 文档，可在知名位置找到，其中包含键值对，提供 OpenID Connect 提供方的配置详细信息，包括授权、令牌、撤消、userinfo 和公钥端点的 URI。可从以下位置检索 Google OpenID Connect 服务的发现文档：
https://accounts.google.com/.well-known/openid-configuration
如需使用 Google 的 OpenID Connect 服务，您应将发现文档 URI (https://accounts.google.com/.well-known/openid-configuration) 硬编码到您的应用中。
您的应用提取文档，在响应中应用缓存规则，然后根据需要从中检索端点 URI。例如，如需对用户进行身份验证，您的代码将检索 authorization_endpoint 元数据值（以下示例中的 https://accounts.google.com/o/oauth2/v2/auth），作为发送到 Google 的身份验证请求的基本 URI。
以下是此类文档的一个示例；字段名称就是 OpenID Connect Discovery 1.0 中指定的字段名称（其含义请参阅该文档）。这些值仅用于说明，可能会发生变化，但它们是从实际 Google Discovery 文档的最新版本中复制的：
{
"issuer": "https://accounts.google.com",
"authorization_endpoint": "https://accounts.google.com/o/oauth2/v2/auth",
"device_authorization_endpoint": "https://oauth2.googleapis.com/device/code",
"token_endpoint": "https://oauth2.googleapis.com/token",
"userinfo_endpoint": "https://openidconnect.googleapis.com/v1/userinfo",
"revocation_endpoint": "https://oauth2.googleapis.com/revoke",
"jwks_uri": "https://www.googleapis.com/oauth2/v3/certs",
"response_types_supported": [
"code",
"token",
"id_token",
"code token",
"code id_token",
"token id_token",
"code token id_token",
"none"
],
"subject_types_supported": [
"public"
],
"id_token_signing_alg_values_supported": [
"RS256"
],
"scopes_supported": [
"openid",
"email",
"profile"
],
"token_endpoint_auth_methods_supported": [
"client_secret_post",
"client_secret_basic"
],
"claims_supported": [
"aud",
"email",
"email_verified",
"exp",
"family_name",
"given_name",
"iat",
"iss",
"locale",
"name",
"picture",
"sub"
],
"code_challenge_methods_supported": [
"plain",
"S256"
]
}
您可以通过缓存 Discovery 文档中的值来避免 HTTP 往返。 系统使用了标准 HTTP 缓存标头，并应遵循。
客户端库
以下客户端库与常用框架集成，从而简化了 OAuth 2.0 的实现：
OpenID Connect 合规性
Google 的 OAuth 2.0 身份验证系统支持 OpenID Connect Core 规范中的所需功能。 任何设计为使用 OpenID Connect 的客户端都应与此服务互操作（OpenID 请求对象除外）。