如何通过Google Sign-In安全地为Django后端添加用户？

首先明确：用accessToken当作密码的做法完全不安全。accessToken是Google颁发给你的应用、用于访问Google API的凭证，有效期短且泄露后会导致用户Google账号权限被滥用，绝对不能用来作为用户认证的密码存储或传输。

以下是不用Firebase的前提下，基于自研Django后端的安全最佳实践：

核心流程逻辑 #

1. Flutter端完成Google登录后，仅向Django后端发送idToken（而非accessToken）
2. Django后端验证idToken的合法性，确认身份来自Google
3. 根据idToken解析出的可信用户信息（邮箱、Google用户ID等），完成新用户创建或已有用户关联
4. 返回后端自定义的认证凭证（如JWT、Session）给Flutter端，用于后续接口请求

分步实现细节 #

Flutter端处理 #

Google登录成功后，通过google_sign_in包获取idToken，并通过HTTPS POST请求发送给Django后端：

import 'package:google_sign_in/google_sign_in.dart';

final GoogleSignIn _googleSignIn = GoogleSignIn(
  scopes: ['email'],
  clientId: '你的Google OAuth客户端ID',
);

Future<void> handleGoogleSignIn() async {
  try {
    final GoogleSignInAccount? account = await _googleSignIn.signIn();
    final GoogleSignInAuthentication auth = await account!.authentication;
    // 仅发送idToken到后端
    final response = await http.post(
      Uri.parse('https://你的后端域名/api/google-login'),
      body: {'id_token': auth.idToken},
    );
    // 处理后端返回的认证结果
  } catch (error) {
    // 处理登录失败
  }
}

Django后端处理 #

1. 依赖安装

安装Google官方的身份验证库，用于验证idToken：

pip install google-auth

2. 核心验证与用户处理代码

from google.oauth2 import id_token
from google.auth.transport import requests
from django.contrib.auth.models import User
from django.http import JsonResponse
from django.contrib.auth import login
import random
import string

# 假设你有一个扩展用户信息的Profile模型，用于存储Google用户ID
from .models import Profile

def google_login(request):
    if request.method != 'POST':
        return JsonResponse({'error': '仅支持POST请求'}, status=405)
    
    id_token_str = request.POST.get('id_token')
    if not id_token_str:
        return JsonResponse({'error': '缺少id_token参数'}, status=400)
    
    try:
        # 验证idToken的合法性，替换为你的Google OAuth客户端ID
        idinfo = id_token.verify_oauth2_token(
            id_token_str,
            requests.Request(),
            'YOUR_GOOGLE_CLIENT_ID'
        )
        
        # 关键验证：确保token的受众是你的应用
        if idinfo['aud'] != 'YOUR_GOOGLE_CLIENT_ID':
            raise ValueError('无效的token受众')
        
        # 从idToken中提取可信用户信息
        google_user_id = idinfo['sub']  # Google唯一用户ID，永不改变
        user_email = idinfo['email']
        user_name = idinfo.get('name', '')

        # 检查用户是否已存在
        try:
            user = User.objects.get(email=user_email)
            # 若用户存在但未关联Google ID，更新关联信息
            if not hasattr(user, 'profile') or user.profile.google_id != google_user_id:
                Profile.objects.update_or_create(
                    user=user,
                    defaults={'google_id': google_user_id, 'name': user_name}
                )
        except User.DoesNotExist:
            # 创建新用户：生成随机密码（用户无需使用密码登录）
            random_pwd = ''.join(random.choices(string.ascii_letters + string.digits, k=16))
            user = User.objects.create_user(
                username=user_email.split('@')[0],  # 自定义用户名规则
                email=user_email,
                password=random_pwd
            )
            # 创建关联的Profile，存储Google用户ID
            Profile.objects.create(user=user, google_id=google_user_id, name=user_name)
        
        # 登录用户（若使用Session认证）或生成JWT返回
        login(request, user)
        return JsonResponse({
            'success': True,
            'user_id': user.id,
            'email': user.email
        })
    
    except ValueError as e:
        # idToken验证失败（伪造、过期、受众错误等）
        return JsonResponse({'error': f'身份验证失败：{str(e)}'}, status=401)

关键安全注意事项 #

• 强制HTTPS：所有Flutter与后端的通信必须使用HTTPS，防止idToken被窃听或篡改
• 不存储accessToken：后端仅需验证idToken，验证完成后即可丢弃，无需存储
• 唯一约束Google ID：在Profile模型的google_id字段添加唯一约束，避免同一个Google账号重复注册
• 验证token核心字段：除了签名，必须验证aud（受众）和exp（过期时间）字段，确保token是发给你的应用且未过期
• 禁用密码登录（可选）：对于通过Google注册的用户，可以在后端逻辑中禁止其使用密码登录，避免账号混淆

内容的提问来源于stack exchange，提问作者Filmixyy