Go中ID Token验证异常：受众与JWT的aud声明不匹配

1. ID Token的aud字段为数组类型 #

部分场景下，Android设备生成的ID Token的aud声明可能是字符串数组（例如同时包含Android客户端ID和Web客户端ID），而idtoken.Validate()默认仅支持单个字符串形式的aud匹配。此时需要使用ValidateWithOptions方法，指定允许的受众数组：

func (g *GoogleAuth) VerifyIDToken(idTokenStr string) (*account.GoogleResponse, error) {
    validator, err := idtoken.NewValidator(context.Background())
    if err != nil {
        return nil, fmt.Errorf("failed to create validator: %v", err)
    }

    opts := &idtoken.ValidateOptions{
        Audience: []string{g.clientID},
    }

    payload, err := validator.ValidateWithOptions(context.Background(), idTokenStr, opts)
    if err != nil {
        return nil, fmt.Errorf("failed to verify token: %v", err)
    }

    return &account.GoogleResponse{
        Id:        payload.Claims["sub"].(string),
        Email:     payload.Claims["email"].(string),
        FirstName: payload.Claims["given_name"].(string),
        LastName:  payload.Claims["family_name"].(string),
    }, nil
}

2. 存在隐形字符或字符串不一致 #

即使肉眼看起来aud和clientID一致，也可能存在空格、换行、全角字符等隐形差异。可以将两者转换为十六进制字符串对比，确认完全匹配：

// 在验证前添加打印逻辑
fmt.Printf("ClientID Hex: %x\n", []byte(g.clientID))
// 先解析token获取aud字段（无需验证）
token, _, err := new(jwt.Parser).ParseUnverified(idTokenStr, jwt.MapClaims{})
if err == nil {
    if claims, ok := token.Claims.(jwt.MapClaims); ok {
        if aud, ok := claims["aud"].(string); ok {
            fmt.Printf("Token Aud Hex: %x\n", []byte(aud))
        }
    }
}

3. 服务器配置的ClientID有误 #

确认VPS服务器上的g.clientID确实是你检查的那个值——本地配置正确但服务器配置错误的情况很常见。可以在验证函数开头直接打印g.clientID，和Token中的aud做实时对比。

4. 认证库版本存在bug #

旧版本的Google ID Token验证库可能存在受众校验逻辑的问题，尝试更新到最新版本：

go get -u golang.org/x/oauth2/google
go get -u google.golang.org/api/idtoken

内容的提问来源于stack exchange，提问作者Talha K.