已通过IAP保护的Cloud Run服务如何获取用户信息（如邮箱）？

• 明确结论：完全可以获取IAP传递的用户信息，但这些信息不会存放在环境变量里，而是通过HTTP请求头传递给你的Cloud Run服务。
• IAP会在经过验证的合法请求中添加以下核心请求头：
  • X-Goog-Authenticated-User-Email：用户的邮箱地址（格式通常为accounts.google.com:user@example.com，截取冒号后的部分即可得到纯邮箱）
  • X-Goog-Authenticated-User-ID：用户的唯一标识ID
• 关键注意事项：不能直接信任这些请求头，必须验证请求确实来自IAP以防止伪造。你可以通过X-Goog-IAP-JWT-Assertion头中的JWT令牌完成验证，验证逻辑包括检查签名有效性、受众（aud）是否匹配你的服务ID等。
• 示例代码（Python Flask）：

  from flask import Flask, request
  
  app = Flask(__name__)
  
  @app.route('/')
  def get_user_info():
      # 从请求头获取用户邮箱
      user_email = request.headers.get('X-Goog-Authenticated-User-Email')
      if user_email:
          # 提取纯邮箱内容
          clean_email = user_email.split(':')[-1]
          return f"当前操作用户邮箱：{clean_email}"
      return "未获取到合法用户信息"
  

内容的提问来源于stack exchange，提问作者Moritz