Java应用调用Google Directory API创建用户遭暂停：密码泄露误判排查

这个问题我之前帮团队排查过类似的情况，核心原因是你通过API传递密码哈希的方式不符合Google Directory API的规范，导致系统误判为密码泄露。下面是具体的修复步骤和解释：

1. 理解Google API对哈希密码的要求 #

Google的Directory API在通过哈希密码创建用户时，有两个关键要求：

• 必须明确指定哈希算法类型（通过hashFunction字段）
• 密码哈希值需要以Base64编码格式传递，而非十六进制字符串

你之前只传递了SHA-1的十六进制哈希串，也没有指定哈希算法，Google系统无法正确识别这个密码的合法性，因此触发了安全机制暂停账户。而手动在Admin控制台设置时，系统会自动处理哈希编码和算法标识，所以不会有问题。

2. 修改你的Java代码 #

下面是修正后的代码示例，重点是正确处理哈希编码和设置哈希算法：

import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import java.util.Base64;
import java.nio.charset.StandardCharsets;

// ... 其他现有代码 ...

// 假设你生成的强明文密码是 plainPassword
String plainPassword = "YourStrongPassword_123!";

try {
    // 计算SHA-1哈希并转换为Base64编码
    MessageDigest sha1Digest = MessageDigest.getInstance("SHA-1");
    byte[] hashBytes = sha1Digest.digest(plainPassword.getBytes(StandardCharsets.UTF_8));
    String base64EncodedHash = Base64.getEncoder().encodeToString(hashBytes);

    // 设置用户对象的密码和哈希算法
    gsUser.setPassword(base64EncodedHash);
    gsUser.setHashFunction("SHA-1"); // 必须指定这个字段

    // 执行用户创建
    gsUser = service.users().insert(gsUser).execute();
} catch (NoSuchAlgorithmException e) {
    // 处理哈希算法不存在的异常
    e.printStackTrace();
}

3. 额外验证点 #

• 密码策略检查：确认你生成的强密码符合Google Workspace的密码策略（比如至少8位、包含大小写字母/数字/特殊字符），虽然你说是强密码，但再核对下避免踩坑
• API权限确认：确保你的服务账号拥有admin.directory.user.create的权限，权限不足也可能导致异常行为
• 安全日志排查：在Google Admin控制台的「安全」>「日志」里查看具体的暂停记录，确认是否是密码格式问题导致的误判

内容的提问来源于stack exchange，提问作者anu