Flutter+Node.js OAuth令牌签名无效问题排查求助

问题背景 #

我们开发的应用前端基于Flutter，后端采用Node.js，目前遭遇Google OAuth令牌签名无效的验证问题，无法推进排查。已多次确认后端配置的CLIENT_ID与Flutter生成令牌的aud字段一致，令牌由Web应用客户端ID生成，且已按照Google官方文档完成应用配置，但问题仍未解决。

相关代码片段 #

Flutter端（注：该片段为评论数据，未包含OAuth令牌获取逻辑）

{            
    "commentid": 1,            
    "text": "Awesome photo!",            
    "userid": "666414da008a0fc1d6ec3ef1",            
    "username": "expandingplayboy2202",            
    "cheers": 3,            
    "createdat": "2024-06-16T20:52:03.229Z",            
    "boos": 0,            
    "award_type": [                
        "Park bench",                
        "Sunflower"            
    ],            
    "user_picture": null,            
    "user_username": null        
}

后端Node.js Google认证代码

exports.googleAuth = async (req, res) => {
  try {
    const { token } = req.body;
    const client = new OAuth2Client();
    const ticket = await client.verifyIdToken({
      idToken: token,
      requiredAudience: process.env.CLIENT_ID,
    });
    const payload = ticket.getPayload();

    if (!payload) {
      errorLogger.error("Invalid token provided for Oauth");
      res.status(400).json({
        message: "invalid token",
      });
    }

    const { email, email_verified, given_name, family_name } = payload;

    if (!email_verified) {
      errorLogger.error("Email is not verified");
      res.status(400).json({
        message: "Email is not verified",
      });
    }
    let username = generateUsername() + Math.floor(Math.random() * 10000);
    while (await User.findOne({ username })) {
      username = generateUsername() + Math.floor(Math.random() * 10000);
    }
    try {
      const picture = `https://api.multiavatar.com/${username}.png?apikey=${AVATAR_KEY}`;
      const user = await User.create({
        username: username,
        password: password,
        email: email.toLowerCase(),
        picture: picture,
        auth_type: "email",
      });
      activityLogger.info("User logged in successfully");
      sendToken(user, 200, res);
    } catch (error) {
      errorLogger.error("Error in Oauth:", err);
      res.status(500).json({
        message: err,
      });
    }
  } catch (err) {
    errorLogger.error("Error in Oauth:", err);
    res.status(500).json({
      message: "Error in Oauth",
    });
  }
};

额外排查点 #

• 手动验证令牌合法性：将Flutter端获取到的ID Token拿到Google官方验证页面检查，确认令牌的iss字段为https://accounts.google.com，exp字段未过期，且签名能通过验证。
• 完善OAuth2Client初始化：当前代码中new OAuth2Client()未传入客户端ID，虽然verifyIdToken指定了requiredAudience，但部分场景下需要初始化时就传入clientId参数，尝试修改为：

  const client = new OAuth2Client(process.env.CLIENT_ID);
  

• 确认环境变量加载正确性：在verifyIdToken执行前打印process.env.CLIENT_ID的值，确保它与Google Cloud Console中的Web应用客户端ID完全一致，无拼写错误、空格或未加载的情况。
• 检查令牌完整性：确认Flutter端传递的令牌是完整的JWT字符串，没有被截断、转义或添加多余字符（如前后引号、空格）。
• 清除Google公钥缓存：google-auth-library会缓存Google的验证公钥，若缓存过期或损坏可能导致验证失败，尝试重启后端服务，或手动清除相关缓存目录。
• 修复代码错误：内层catch块中使用了未定义的err变量（应为error），这会导致无法输出真实的错误信息，先修复该问题，以便获取具体的验证失败原因。
• 确认Flutter端令牌类型：检查Flutter端是否获取的是ID Token，而非Access Token——两者功能不同，verifyIdToken仅支持ID Token。
• 检查跨平台客户端配置：若Flutter应用为移动端（iOS/Android），即使使用Web应用客户端ID，也要确认Google Cloud Console中对应平台的OAuth客户端已正确配置包名、签名哈希，且令牌确实由该客户端生成。
• 输出详细错误日志：在外层catch中打印err的完整信息（如err.message、err.stack），而不是仅记录通用错误，这能帮助定位是签名验证失败、受众不匹配还是其他具体问题。

内容的提问来源于stack exchange，提问作者stan3098