如何从谷歌等身份提供商获取访问令牌公钥？OAuth2令牌验证问询

嘿，我来帮你搞定这个问题——谷歌的公钥可不是在开发者控制台里直接找的，而是通过一个公开的标准化端点动态获取的，这也是OAuth2和OpenID Connect生态里的常规操作。

• 首先，谷歌提供了一个公开的JSON Web Key Set（JWKS）端点，你只需要发送一个GET请求就能拿到当前所有有效的公钥：
  https://www.googleapis.com/oauth2/v3/certs
• 返回的JSON里包含多组公钥，每一组都带有kid（密钥ID）标识。你可以从访问令牌的JWT头部里提取对应的kid值，匹配到正确的公钥，用来验证令牌的签名合法性。
• 为什么不在开发者控制台里找？因为谷歌会定期轮换这些签名密钥，直接从这个端点获取能保证你拿到的是当前有效的公钥，避免因为密钥过期导致验证失败。

如果你的系统遵循OpenID Connect规范，还可以通过谷歌的发现文档来自动定位这个JWKS端点：
发送GET请求到https://accounts.google.com/.well-known/openid-configuration，返回的JSON里的jwks_uri字段就指向了公钥端点，这种方式更适合需要适配多个身份提供商的场景。

内容的提问来源于stack exchange，提问作者Mohamed BEN AMOR