Google Identity Services：如何防止他人冒用我的Client ID？

1. 利用Google「已授权JavaScript来源」筑牢第一道安全防线 #

你之前误以为这个配置仅用于CORS，实际上它是Google OAuth2针对JavaScript客户端的核心安全校验机制：只有配置在该列表内的域名，才能合法发起Google授权请求并获取ID令牌。恶意站点不在你的授权列表中时，直接调用Google身份服务会被拒绝，根本无法拿到有效令牌。

2. 后端严格校验ID令牌的核心字段 #

即使出现配置失误等极端情况，后端在验证ID令牌时必须完成以下校验：

• 校验aud（受众）字段严格等于你的Client ID，确保令牌是发给你的应用的。
• 校验iss（签发者）为https://accounts.google.com或accounts.google.com，确认令牌来自Google官方。
• 强制校验azp（授权方）字段：该字段记录了实际发起授权请求的客户端标识。对于纯前端应用场景，azp必须等于你的Client ID；若多客户端共享Client ID，需确保azp属于你认可的客户端列表。恶意站点冒用的情况下，azp会与你的Client ID不符，直接拒绝验证。
• 校验令牌的过期时间（exp），确保令牌未失效。

3. 结合请求来源做辅助校验 #

在后端处理令牌兑换请求时，可辅助校验请求的Referer头（虽存在被篡改可能，但可作为补充防线），确认请求来自你的合法域名范围。

4. 定期轮换Client ID并监控异常 #

• 定期轮换Client ID，降低泄露后的风险影响范围。
• 在后端添加日志监控，记录ID令牌验证失败的请求（如azp不符、aud错误等），一旦发现异常频次过高，及时排查并采取封禁可疑IP、更新Client ID等措施。

内容的提问来源于stack exchange，提问作者Ryan Moore