如何验证 Google 登录后获取的 ID Token-php教程-PHP中文网

如何验证 Google 登录后获取的 ID Token

本文详解如何在 PHP 中正确验证 Google OAuth 2.0 返回的 ID Token，解决因缺失 JWT 依赖导致的 RuntimeException 错误，并提供完整、安全、可部署的验证流程。

本文详解如何在 php 中正确验证 google oauth 2.0 返回的 id token，解决因缺失 jwt 依赖导致的 `runtimeexception` 错误，并提供完整、安全、可部署的验证流程。

在基于 Google OAuth 2.0 的登录集成中，前端（如 Web 或移动端）完成授权后，通常会返回一个 ID Token（JWT 格式），用于后端校验用户身份。但直接调用 Google\Auth\AccessToken::verify() 方法时，若未安装必要依赖，将触发如下致命错误：

Fatal error: Uncaught RuntimeException: Please require kelvinmo/simplejwt ^0.2 to use this utility.

这是因为 Google 官方 PHP 认证库 google/auth 默认不自动引入 JWT 解析器，而是将 kelvinmo/simplejwt 作为可选依赖（opt-in），以保持轻量并避免强制绑定特定 JWT 实现。

✅ 正确解决方案：安装兼容版本的 JWT 库
运行以下 Composer 命令，显式引入支持 ES256 签名验证的 JWT 解析器：

composer require kelvinmo/simplejwt "^0.2"

✅ 注意：请严格使用 ^0.2 版本（如 0.2.5），因 simplejwt v1.x 不兼容 Google Auth 库的 verify() 接口；更高版本需改用 google/auth v2+ 配套的 firebase/php-jwt 方案（见下文扩展说明）。

安装完成后，即可安全执行 ID Token 校验。以下是生产就绪的验证示例（含异常处理与关键校验项）：

Google Workspace CLI

使用 `gw` CLI 与 Google Workspace（Drive、Docs、Sheets）交互。当需要浏览、读取、创建、搜索或管理 Google Drive 中的文件时使用。

下载

use Google\Auth\AccessToken;

$idToken = $_POST['id_token'] ?? ''; // 来自前端的 ID Token（HTTPS POST 安全传递）
$audience = 'YOUR_GOOGLE_CLIENT_ID.apps.googleusercontent.com'; // 必须与 OAuth Client ID 一致

if (empty($idToken)) {
    http_response_code(400);
    die('Missing ID token');
}

try {
    $auth = new AccessToken();
    $payload = $auth->verify($idToken, [
        'certsLocation' => AccessToken::IAP_CERT_URL, // 使用 Google IAP 公钥证书（推荐用于 Google 登录场景）
        'throwException' => true,
    ]);

    // ✅ 强制校验关键声明
    if (!isset($payload['aud']) || $payload['aud'] !== $audience) {
        throw new InvalidArgumentException('Invalid audience');
    }
    if (!isset($payload['iss']) || !in_array($payload['iss'], ['https://accounts.google.com', 'accounts.google.com'])) {
        throw new InvalidArgumentException('Invalid issuer');
    }
    if (!isset($payload['exp']) || $payload['exp']  true,
        'user_id' => $userId,
        'email' => $email,
        'email_verified' => $emailVerified,
        'token_info' => array_intersect_key($payload, array_flip(['iss', 'aud', 'exp', 'iat', 'sub']))
    ]);

} catch (InvalidArgumentException $e) {
    http_response_code(401);
    echo json_encode(['error' => 'Invalid token: ' . $e->getMessage()]);
} catch (Exception $e) {
    http_response_code(500);
    echo json_encode(['error' => 'Verification failed: ' . $e->getMessage()]);
}

? 关键注意事项：

绝不信任前端传入的 id_token 字符串本身：必须由后端调用 Google 公钥远程校验签名有效性（verify() 内部已自动完成）；
aud（Audience）必须精确匹配你的 OAuth 2.0 Client ID，否则攻击者可复用其他应用的合法 Token；
始终检查 exp（过期时间）和 iss（签发者），防止重放与伪造；
若你使用的是 Google Cloud IAP（Identity-Aware Proxy），应保留 IAP_CERT_URL；若为标准 Google Sign-In，则推荐改用 Google\Auth\OAuth2::getWellKnownOpenIdConfiguration() 获取动态 JWKS URI（更符合 OIDC 规范）；
⚠️ simplejwt ^0.2 已停止维护，长期项目建议升级至 google/auth:^2.0 + firebase/php-jwt:^6.10 组合，并改用 Google\Auth\OAuth2::verifyIdToken() 方法（支持自动 JWKS 缓存与刷新）。