如何通过Google OAuth2实现Web应用登录并完成Spring Boot服务端验证

核心思路 #

前端通过Google登录后，必须获取Google颁发的ID Token（而非仅姓名/头像这类可篡改的信息），将其传给Spring Boot后端。后端通过验证ID Token的合法性确认用户身份，再完成后续的用户关联/创建逻辑。

具体实现步骤 #

1. 添加OAuth2资源服务器依赖 #

在Spring Boot的pom.xml（Maven）中引入依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>

2. 配置Google Token验证源 #

在application.yml中配置Google的issuer地址，Spring Security会自动从该地址获取验证Token所需的公钥：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: https://accounts.google.com

3. 接收并验证前端传来的ID Token #

前端登录成功后，通过Google Auth SDK获取ID Token（google.auth.currentUser.get().getAuthResponse().id_token），将其放在请求头Authorization中（格式为Bearer {id_token}）传给后端。

后端可通过Spring Security自动验证，也可手动编写验证逻辑：

import org.springframework.security.oauth2.jwt.Jwt;
import org.springframework.security.oauth2.jwt.JwtDecoder;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestHeader;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class AuthController {

    private final JwtDecoder jwtDecoder;

    public AuthController(JwtDecoder jwtDecoder) {
        this.jwtDecoder = jwtDecoder;
    }

    @PostMapping("/api/auth/google")
    public String authenticate(@RequestHeader("Authorization") String authHeader) {
        String idToken = authHeader.replace("Bearer ", "");
        try {
            // 验证并解析Token
            Jwt jwt = jwtDecoder.decode(idToken);
            // 获取Google用户唯一标识、邮箱、姓名等核心信息
            String googleUserId = jwt.getSubject();
            String userEmail = jwt.getClaimAsString("email");
            String userName = jwt.getClaimAsString("name");

            // 后续业务逻辑：
            // - 检查数据库是否存在该googleUserId对应的用户
            // - 不存在则自动创建用户记录
            // - 存在则更新昵称、头像等非核心信息
            // - 生成后端自定义会话Token返回给前端，用于后续接口授权

            return "验证通过，用户：" + userName;
        } catch (Exception e) {
            throw new RuntimeException("无效的Google ID Token", e);
        }
    }
}

4. 配置Security拦截规则 #

在Security配置类中设置接口的访问权限：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/auth/google").permitAll() // 登录接口放行
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2.jwt());
        return http.build();
    }
}

5. 用户数据持久化逻辑 #

验证Token合法后，基于Google用户的唯一ID（sub字段）处理用户数据：

• 若数据库无该用户记录：创建新用户，将sub作为唯一标识，存入邮箱、姓名等信息
• 若已存在：可选择性更新用户昵称、头像等信息
• 生成后端自定义JWT返回给前端，后续接口用该JWT做身份校验，无需每次传递Google Token

关键注意事项 #

• 禁止仅依赖前端传来的姓名/头像验证身份：这类信息可被伪造，必须通过ID Token验证确认用户真实身份
• 确保GCP客户端配置正确：前端的Client ID需与GCP控制台配置一致，且回调地址匹配
• 处理Token过期：Google ID Token有效期为1小时，前端需在过期前自动刷新或引导用户重新登录

内容的提问来源于stack exchange，提问作者Jiajun