基于ReactPHP实现Google登录ID Token的异步非阻塞PHP验证

核心思路 #

Google ID Token验证的关键是把官方库中同步的公钥获取请求替换为ReactPHP的异步HTTP调用，同时保留JWT签名验证和Claims检查的核心逻辑——不需要完全依赖google/apiclient的同步方法，拆解验证流程后结合ReactPHP生态实现异步非阻塞。

具体实现步骤 #

1. 安装依赖 #

需要ReactPHP异步HTTP客户端，以及纯PHP实现的JWT处理库（无IO阻塞）：

composer require react/http firebase/php-jwt

2. 异步获取Google公钥 #

Google的公钥地址为https://www.googleapis.com/oauth2/v3/certs，用ReactPHP的Browser发起异步请求：

use React\Http\Browser;
use React\EventLoop\Loop;

$loop = Loop::get();
$browser = new Browser($loop);

// 封装异步获取公钥的方法
$fetchGooglePublicKeys = function() use ($browser) {
    return $browser->get('https://www.googleapis.com/oauth2/v3/certs')
        ->then(function($response) {
            $body = (string)$response->getBody();
            return json_decode($body, true);
        });
};

3. 异步验证ID Token #

拆解官方库的验证逻辑，用Promise串联异步流程：

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

// 封装异步验证方法
$verifyGoogleIdToken = function(string $idToken, string $clientId) use ($fetchGooglePublicKeys) {
    return $fetchGooglePublicKeys()
        ->then(function(array $publicKeys) use ($idToken, $clientId) {
            // 解析Token头部，匹配对应公钥的kid
            $tokenSegments = explode('.', $idToken);
            $header = json_decode(base64_decode($tokenSegments[0]), true);
            $kid = $header['kid'] ?? null;

            if (!isset($publicKeys[$kid])) {
                throw new \Exception('无效的公钥标识');
            }

            // 验证签名并解析Payload
            $payload = JWT::decode(
                $idToken,
                new Key($publicKeys[$kid], 'RS256')
            );

            // 检查核心Claims（与官方库逻辑一致）
            if ($payload->aud !== $clientId) {
                throw new \Exception('受众不匹配');
            }
            if (!in_array($payload->iss, ['https://accounts.google.com', 'accounts.google.com'])) {
                throw new \Exception('签发方无效');
            }
            if (time() >= $payload->exp) {
                throw new \Exception('Token已过期');
            }
            if (time() < $payload->iat - 300) { // 允许5分钟时钟偏差
                throw new \Exception('Token签发时间异常');
            }

            return (array)$payload;
        });
};

4. 使用示例 #

$userToken = '前端传入的Google ID Token';
$yourClientId = '你的Google OAuth客户端ID';

$verifyGoogleIdToken($userToken, $yourClientId)
    ->then(function(array $payload) {
        // 验证成功，处理用户信息
        echo "验证通过，用户ID：{$payload['sub']}";
    })
    ->catch(function(\Exception $e) {
        // 验证失败，处理错误
        echo "验证失败：{$e->getMessage()}";
    });

$loop->run();

关键优化点 #

• 公钥缓存：Google公钥更新频率低，建议用react/cache实现本地缓存，避免重复发起HTTP请求。
• 扩展验证：可根据业务需求额外检查hd（企业域名）、email_verified等字段。
• 替代官方库的原因：google/apiclient的verifyIdToken硬绑定同步Guzzle，无法适配ReactPHP异步流程，拆解逻辑后更可控。

内容的提问来源于stack exchange，提问作者Vadym Polietaiev