如何在后端验证chrome.identity.getAuthToken()获取的令牌？

具体操作步骤 #

1. 前端传递令牌到后端
   前端通过chrome.identity.getAuthToken({interactive: true})获取到访问令牌后，直接通过自有后端API接口把令牌传过去。

2. 后端校验令牌合法性并获取用户信息
   借助Google官方验证接口完成校验，有两种实用方式：

   • 令牌信息校验接口：向https://www.googleapis.com/oauth2/v3/tokeninfo发起GET请求，携带参数access_token=前端传来的令牌。
     以Node.js为例的代码示例：

     const axios = require('axios');
     
     async function validateGoogleToken(accessToken) {
       try {
         const res = await axios.get('https://www.googleapis.com/oauth2/v3/tokeninfo', {
           params: { access_token: accessToken }
         });
         // 重点：校验aud字段是否匹配你的Chrome扩展OAuth客户端ID，防止非法令牌
         if (res.data.aud !== '你的OAuth客户端ID') {
           throw new Error('令牌受众不匹配');
         }
         // 从返回结果中提取用户唯一标识sub、邮箱等核心信息
         return {
           googleUserId: res.data.sub,
           email: res.data.email,
           isEmailVerified: res.data.email_verified
         };
       } catch (err) {
         throw new Error('令牌无效或已过期');
       }
     }
     

   • 用户信息接口：如果需要更多用户数据（比如昵称、头像），可以调用https://www.googleapis.com/oauth2/v2/userinfo，同样携带access_token参数。接口返回有效数据即代表令牌合法，同时能拿到完整用户资料。

3. 后端完成用户身份同步
   令牌校验通过后，用返回的sub（Google唯一用户ID）作为标识：

   • 数据库中已有该用户：生成后端自有会话令牌（比如JWT）返回给前端，完成登录。
   • 数据库中无该用户：用返回的邮箱、用户名等信息创建新用户，再生成会话令牌返回。

关键注意点 #

• 强制校验aud字段：必须确认返回结果里的aud和你在Google Cloud Console注册的Chrome扩展客户端ID一致，避免其他应用的令牌被滥用。
• 处理令牌过期：Google访问令牌有效期约1小时，校验时若遇到过期错误，前端需重新调用chrome.identity.getAuthToken()，可先尝试interactive: false静默刷新，失败再触发用户交互。
• 权限配置：在Google Cloud Console的OAuth客户端设置中，确保已添加userinfo.email、userinfo.profile等必要权限，否则无法获取用户身份信息。

内容的提问来源于stack exchange，提问作者Nur L