Mengautentikasi dengan server backend

Jika Anda menggunakan Login dengan Google dengan aplikasi atau situs yang berkomunikasi dengan server backend, Anda mungkin perlu mengidentifikasi pengguna yang saat ini sudah login di server. Untuk melakukannya dengan aman, setelah pengguna berhasil login, kirim token ID pengguna tersebut ke server Anda menggunakan HTTPS. Kemudian, pada server, verifikasi integritas token ID dan gunakan informasi pengguna yang terdapat dalam token untuk membuat sesi atau membuat akun baru.

Peringatan: Jangan terima ID pengguna biasa, seperti yang bisa Anda dapatkan dengan GoogleUser.getId() method, di server backend Anda. Aplikasi klien yang dimodifikasi dapat mengirim ID pengguna arbitrer ke server Anda untuk meniru identitas pengguna, sehingga Anda harus menggunakan token ID yang dapat diverifikasi untuk mendapatkan ID pengguna dari pengguna yang login di sisi server dengan aman.

Mengirim token ID ke server Anda

Setelah pengguna berhasil login, dapatkan token ID pengguna tersebut:

function onSignIn(googleUser) {
  var id_token = googleUser.getAuthResponse().id_token;
  ...
}

Kemudian, kirim token ID ke server Anda dengan permintaan POST HTTPS:

var xhr = new XMLHttpRequest();
xhr.open('POST', 'https://yourbackend.example.com/tokensignin');
xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
xhr.onload = function() {
  console.log('Signed in as: ' + xhr.responseText);
};
xhr.send('idtoken=' + id_token);

Memverifikasi integritas token ID

Setelah menerima token ID melalui HTTPS POST, Anda harus memverifikasi integritas token.

To verify that the token is valid, ensure that the following criteria are satisfied:

• The ID token is properly signed by Google. Use Google's public keys (available in JWK or PEM format) to verify the token's signature. These keys are regularly rotated; examine the Cache-Control header in the response to determine when you should retrieve them again.
• The value of aud in the ID token is equal to one of your app's client IDs. This check is necessary to prevent ID tokens issued to a malicious app being used to access data about the same user on your app's backend server.
• The value of iss in the ID token is equal to accounts.google.com or https://accounts.google.com.
• The expiry time (exp) of the ID token has not passed.
• If you want to restrict access to only members of your G Suite domain, verify that the ID token has an hd claim that matches your G Suite domain name.

Rather than writing your own code to perform these verification steps, we strongly recommend using a Google API client library for your platform, or a general-purpose JWT library. For development and debugging, you can call our tokeninfo validation endpoint.

Menggunakan Library Klien Google API

Menggunakan salah satu Library Klien Google API (misalnya Java, Node.js, PHP, Python) adalah cara yang direkomendasikan untuk memvalidasi token ID Google di lingkungan produksi.

Java

Untuk memvalidasi token ID di Java, gunakan objek GoogleIdTokenVerifier. Contoh:

import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

Metode GoogleIdTokenVerifier.verify() memverifikasi tanda tangan JWT, klaim aud, klaim iss, dan klaim exp.

Jika Anda ingin membatasi akses hanya untuk anggota domain G Suite Anda, verifikasi juga klaim hd dengan memeriksa nama domain yang ditampilkan oleh metode Payload.getHostedDomain().

Node.js

Untuk memvalidasi token ID di Node.js, gunakan Library Google Auth untuk Node.js. Instal library:

npm install google-auth-library --save

Lalu, panggil fungsi verifyIdToken(). Contoh:

const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If request specified a G Suite domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

Fungsi verifyIdToken memverifikasi tanda tangan JWT, klaim aud, klaim exp, dan klaim iss.

Jika Anda ingin membatasi akses hanya untuk anggota domain G Suite, verifikasi juga bahwa klaim hd cocok dengan nama domain G Suite Anda.

PHP

Untuk memvalidasi token ID di PHP, gunakan Library Klien Google API untuk PHP. Instal library (misalnya, menggunakan Composer):

composer require google/apiclient

Lalu, panggil fungsi verifyIdToken(). Contoh:

require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If request specified a G Suite domain:
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

Fungsi verifyIdToken memverifikasi tanda tangan JWT, klaim aud, klaim exp, dan klaim iss.

Jika Anda ingin membatasi akses hanya untuk anggota domain G Suite, verifikasi juga bahwa klaim hd cocok dengan nama domain G Suite Anda.

Python

Untuk memvalidasi token ID di Python, gunakan fungsi verify_oauth2_token. Contoh:

from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If auth request is from a G Suite domain:
    # if idinfo['hd'] != GSUITE_DOMAIN_NAME:
    #     raise ValueError('Wrong hosted domain.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

Fungsi verify_oauth2_token memverifikasi tanda tangan JWT, klaim aud, dan klaim exp. Anda juga harus memverifikasi klaim hd (jika berlaku) dengan memeriksa objek yang ditampilkan oleh verify_oauth2_token. Jika beberapa klien mengakses server backend, verifikasi juga klaim aud secara manual.

Memanggil endpoint tokeninfo

Cara mudah untuk memvalidasi tanda tangan token ID untuk proses debug adalah dengan menggunakan endpoint tokeninfo. Pemanggilan endpoint ini melibatkan permintaan jaringan tambahan yang melakukan sebagian besar validasi untuk Anda saat Anda menguji validasi dan ekstraksi payload yang tepat dalam kode Anda sendiri. Fitur ini tidak cocok untuk digunakan dalam kode produksi karena permintaan dapat diperlambat atau dapat mengalami error yang berselang-seling.

Untuk memvalidasi token ID menggunakan endpoint tokeninfo, buat permintaan HTTPS POST atau GET ke endpoint, dan teruskan token ID di parameter id_token. Misalnya, untuk memvalidasi token "XYZ123", buat permintaan GET berikut:

https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123

Jika token ditandatangani dengan benar dan klaim iss serta exp memiliki nilai yang diharapkan, Anda akan mendapatkan respons HTTP 200, dengan isinya berisi klaim token ID berformat JSON. Berikut adalah contoh respons:

{
 // These six fields are included in all Google ID Tokens.
 "iss": "https://accounts.google.com",
 "sub": "110169484474386276334",
 "azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "iat": "1433978353",
 "exp": "1433981953",

 // These seven fields are only included when the user has granted the "profile" and
 // "email" OAuth scopes to the application.
 "email": "[e-mail]",
 "email_verified": "true",
 "name" : "Test User",
 "picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg",
 "given_name": "Test",
 "family_name": "User",
 "locale": "en"
}

Peringatan: Setelah mendapatkan klaim ini, Anda masih harus memeriksa apakah klaim aud berisi salah satu client ID aplikasi Anda. Jika ya, berarti token tersebut valid dan ditujukan untuk klien Anda. Anda juga dapat mengambil serta menggunakan ID Google unik milik pengguna dengan aman dari klaim sub.

Jika Anda pelanggan G Suite, Anda mungkin juga tertarik dengan klaim hd, yang menunjukkan domain yang dihosting dari pengguna tersebut. Ini dapat digunakan untuk membatasi akses ke resource hanya untuk anggota domain tertentu. Tidak adanya klaim ini menunjukkan bahwa pengguna bukan merupakan anggota domain yang dihosting G Suite.

Membuat akun atau sesi

Setelah memverifikasi token, periksa apakah pengguna sudah ada di database pengguna Anda. Jika demikian, buat sesi yang diautentikasi untuk pengguna. Jika pengguna belum berada di database pengguna, buat record pengguna baru dari informasi dalam payload token ID, dan buat sesi untuk pengguna tersebut. Anda dapat meminta pengguna untuk memberikan informasi profil tambahan yang diperlukan saat mendeteksi pengguna yang baru dibuat di aplikasi Anda.

Mengamankan akun pengguna Anda dengan Perlindungan Lintas Akun

Jika Anda mengandalkan Google untuk memproses login pengguna, Anda akan otomatis mendapatkan manfaat dari semua fitur keamanan dan infrastruktur yang dibuat oleh Google untuk mengamankan data pengguna. Namun, seandainya Akun Google pengguna disusupi atau terjadi beberapa peristiwa keamanan signifikan lainnya, aplikasi Anda juga dapat rentan terhadap serangan. Untuk melindungi akun Anda dengan lebih baik dari peristiwa keamanan besar, gunakan Perlindungan Lintas Akun untuk menerima notifikasi keamanan dari Google. Saat menerima peristiwa ini, Anda dapat melihat perubahan penting pada keamanan Akun Google pengguna, dan Anda dapat mengambil tindakan pada layanan untuk mengamankan akun Anda.