如何简化PHP中基于JWT的谷歌登录证书验证流程

方案一：用官方库Cleanup脚本精准瘦身 #

官方库的Google\Task\Composer::cleanup脚本可以移除未使用的API服务，只保留Token验证必需的部分，配置方法如下：

在项目的composer.json中添加以下配置：

{
  "scripts": {
    "post-install-cmd": [
      "Google\\Task\\Composer::cleanup"
    ],
    "post-update-cmd": [
      "Google\\Task\\Composer::cleanup"
    ]
  },
  "extra": {
    "google/apiclient-services": [
      "Oauth2"
    ]
  }
}

操作步骤：

• 删除现有vendor目录和composer.lock文件
• 执行composer install，脚本会自动清理掉除Oauth2服务外的所有冗余文件，文件数量会大幅降低

方案二：手动实现JWT验证（完全抛弃大库） #

如果觉得官方库还是臃肿，直接用firebase/php-jwt配合手动逻辑实现验证，仅依赖极小的包：

1. 安装依赖：

composer require firebase/php-jwt

2. 核心验证代码示例：

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

class GoogleTokenVerifier {
    private $clientId;
    private $publicKeys = [];
    private $keysLastFetched = 0;

    public function __construct(string $clientId) {
        $this->clientId = $clientId;
    }

    // 缓存谷歌公钥，避免重复请求
    private function fetchPublicKeys() {
        if (time() - $this->keysLastFetched < 3600) {
            return;
        }
        $response = file_get_contents('https://www.googleapis.com/oauth2/v3/certs');
        $this->publicKeys = json_decode($response, true);
        $this->keysLastFetched = time();
    }

    public function verifyToken(string $idToken): ?array {
        $this->fetchPublicKeys();
        try {
            // 用对应公钥解码Token
            $decoded = JWT::decode($idToken, new Key($this->publicKeys[JWT::getKeyId($idToken)], 'RS256'));
            
            // 验证谷歌要求的核心字段
            if ($decoded->aud !== $this->clientId) {
                throw new Exception("无效的受众");
            }
            if ($decoded->iss !== 'https://accounts.google.com') {
                throw new Exception("无效的签发方");
            }
            if ($decoded->exp < time()) {
                throw new Exception("Token已过期");
            }

            return (array)$decoded;
        } catch (Exception $e) {
            return null;
        }
    }
}

这个方案仅依赖firebase/php-jwt，文件数量极少，完全不会触发inode限制，且完全符合谷歌的验证规范。

你的FVRJWT类优化建议 #

如果已经自行编写了验证类，核心要确保：

• 对谷歌公钥做缓存（比如1小时），避免每次验证都发起HTTP请求
• 严格验证三个核心字段：aud（你的客户端ID）、iss（必须是https://accounts.google.com）、exp（过期时间）
• 仅使用RS256算法验证，谷歌ID Token只支持该算法
• 剔除所有不必要的依赖，只保留JWT解码和公钥拉取的核心逻辑

内容的提问来源于stack exchange，提问作者Fernando VR