Google登录中Access Token与ID Token的使用疑问及方案咨询

你提到的这个做法完全安全，并没有违反那些规则，核心是要分清规则的适用边界：

• 规则里的「ID Token不用于授权」「不应发送至API」，这里的API特指第三方服务的业务API（比如Google Drive、Gmail这类需要授权访问的第三方资源接口），而非你自己的后端服务。ID Token的本质就是用来向信任方证明用户身份的凭证，你的后端作为身份验证的信任接收方，接收并验证用户的ID Token是完全合规的操作。
• 验证通过后生成自有系统的JWT，用来让用户访问你的数据库资源，这个流程是标准的OIDC（OpenID Connect）登录落地逻辑：Google负责身份认证，你的系统负责后续的授权与资源访问控制，两者职责清晰，不存在安全问题。

至于是否必须用Access Token？答案是不需要，除非你的系统需要调用Google的第三方业务API（比如读取用户的Google日历、通讯录等）。Access Token的核心作用是授权访问第三方资源，如果你只是用Google做身份登录，完全不需要请求Access Token，只用ID Token就足够完成身份验证环节。

额外注意：

• 验证ID Token时，优先用Google提供的公钥本地验证签名，性能会更好；如果调用官方验证接口，也是官方认可的安全方式。
• 你生成的自有JWT是专属你系统的授权凭证，和Google的Token没有关联，后续前端应该用这个自有JWT访问你的API，而不是继续传递Google的ID Token。

内容的提问来源于stack exchange，提问作者Fprogramer