Google登录集成技术咨询：ID Token解码失败及密钥选择疑问

先直接回答你的两个疑问：

1. 整体流程逻辑是对的，但解码部分的逻辑错误：前端获取Google返回的credential（也就是ID Token）并通过AJAX传给后端的思路没问题，但你对ID Token的签名/解码机制理解有误，导致解码失败。
2. 不能用Client Secret解码，必须使用Google的公钥：Google的ID Token是用RS256非对称加密算法签名的，签名用的是Google的私钥，后端验证解码时需要用对应的公钥，而不是你在控制台拿到的Client Secret（Client Secret是用于OAuth授权码流程的，和ID Token验证无关）。

为什么之前的尝试失败？ #

• 你用了HS256算法，但Google的ID Token是RS256签名的，算法不匹配会直接解码失败。
• 用Client Secret当作密钥完全错误，HS256是对称加密（同一个密钥加密解密），但RS256是非对称的，必须用公钥验证签名。

正确的后端解码实现（修正后的signin.php） #

你需要使用Firebase JWT库正确验证并解码ID Token，同时要验证Token的关键字段（比如受众aud、签发者iss、过期时间exp）来确保Token的合法性：

<?php
session_start();
require_once 'vendor/autoload.php';

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

// 从前端获取ID Token
$credencial = $_POST['idtoken'] ?? '';
if (empty($credencial)) {
    echo json_encode(['Comentario' => 'Invalid token']);
    exit;
}

// 你的Google Client ID（必须和前端data-client_id一致）
$client_id = 'my_id_client_number.apps.googleusercontent.com';

try {
    // 动态获取Google的公钥
    $oauthKeys = json_decode(file_get_contents('https://www.googleapis.com/oauth2/v1/certs'), true);
    
    // 解码并验证ID Token
    $decoded = JWT::decode(
        $credencial,
        $oauthKeys,
        ['RS256'] // 必须用RS256，和Google的签名算法一致
    );

    // 额外验证关键字段，确保Token是发给你的应用的
    if ($decoded->aud !== $client_id) {
        throw new Exception('Invalid audience');
    }
    if ($decoded->iss !== 'https://accounts.google.com') {
        throw new Exception('Invalid issuer');
    }
    if ($decoded->exp < time()) {
        throw new Exception('Token expired');
    }

    // 解码成功，获取用户信息
    $userData = (array) $decoded;
    $Comentario = print_r($userData, true);
    echo json_encode(['Comentario' => $Comentario]);

} catch (Exception $e) {
    echo json_encode(['Comentario' => '解码失败：' . $e->getMessage()]);
}
?>

关键注意事项 #

• 公钥动态获取：Google会定期轮换公钥，所以每次验证时直接从官方地址获取最新公钥是最可靠的（你之前的缓存思路也可以用，但要注意缓存有效期不要太长，比如1小时以内）。
• 字段验证：必须验证aud（确保是发给你的Client ID）、iss（确保是Google签发的）、exp（确保Token没过期），这能避免伪造的Token。
• Firebase JWT版本：如果你的firebase/php-jwt是6.x及以上版本，更推荐用Key类匹配对应kid的密钥，但上面的代码用数组传公钥也能正常工作。

前端代码的小建议 #

你可以在handleCredentialResponse里先简单判断一下response.credential是否存在，避免空值传给后端：

function handleCredentialResponse(response) {
    if (!response.credential) {
        $("#MainContainer").html('未获取到登录凭证');
        return;
    }
    console.log(response.credential);
    // 后续AJAX请求...
}

内容的提问来源于stack exchange，提问作者CMArg