如何用Ruby验证Google Identity OAuth2令牌？

问题本质 #

你遇到的是Google ID Token验证问题，Google Identity登录返回的credential其实就是OIDC标准的ID Token，所以之前尝试verify_oidc的方向是对的，只是参数配置没到位。

基于googleauth gem的正确实现 #

1. 配置依赖 #

在Gemfile中添加：

gem 'googleauth'
gem 'jwt' # googleauth依赖该库，确保已安装

执行bundle install完成安装。

2. 验证代码实现 #

调用verify_oidc必须指定受众（audience），也就是你在Google Cloud Console创建的OAuth客户端ID。示例代码：

require 'googleauth/id_tokens'

def validate_google_id_token(token)
  begin
    # 替换为你的Google OAuth客户端ID，多客户端可传数组：[id1, id2]
    allowed_client_ids = 'YOUR_GOOGLE_CLIENT_ID'
    payload = Google::Auth::IDTokens.verify_oidc(token, aud: allowed_client_ids)
    
    # 验证通过，返回用户核心信息
    {
      email: payload['email'],
      email_verified: payload['email_verified'],
      google_user_id: payload['sub'],
      name: payload['name']
    }
  rescue Google::Auth::IDTokens::VerificationError => e
    Rails.logger.error "Google令牌验证失败: #{e.message}"
    nil
  end
end

3. 为什么tokeninfo端点失效？ #

Google已弃用tokeninfo端点作为正式验证方式，该端点仅用于临时调试，且有调用限制，生产环境必须使用本地签名验证（googleauth会自动处理公钥获取与签名校验）。

关键注意事项 #

• 区分ID Token和Access Token：前端传递的credential是ID Token，用于身份验证；而access_token是调用Google API的令牌，不能用于身份校验。
• 多客户端适配：如果对接多个前端，将allowed_client_ids设为包含所有客户端ID的数组即可。
• 自动校验规则：googleauth会自动验证令牌的过期时间（exp）、签发者（iss必须为accounts.google.com或https://accounts.google.com）等关键Claims，无需手动处理。

常见错误排查 #

• 令牌无效：检查是否传递的是ID Token，客户端ID是否与Google Cloud配置一致，令牌是否过期。
• 签名验证失败：确保服务器能正常访问Google的公钥服务，若有网络代理需配置代理规则。

内容的提问来源于stack exchange，提问作者michaelsking1993