Google服务acquireToken鉴权令牌格式与结构特征问询

• 受潜在NDA条款约束，无法明确披露该服务的具体名称与应用场景，本次咨询仅为确认是否有从业者接触过同结构的特殊鉴权令牌。

令牌基础属性 #

• 令牌以参数形式嵌入页面链接/表单项，参数名为acquireToken，整体采用Base64编码，页面中的典型嵌入形式如下：

<a href="https://a-google-service.com?acquireToken=AOV9r7psYLcqC3OhrsY">Link</a>

• Base64解码后存在固定5字节起始标识：0x00 0xE5 0x7D 0xAF 0xBA，对应Base64编码的固定前缀为AOV9r7
• 该格式为服务通用规则，并非个人账号独有：所有用户访问同服务获取的令牌均遵循该结构，经比对与Microsoft同名的acquireToken机制结构完全不匹配，不属于同一实现
• 目前公开搜索引擎、官方公开文档中均检索不到该特征签名的相关参考资料，Google也未开放对应技术规范的公开咨询渠道。

令牌长度与载荷规律 #

• 令牌长度和授权资源存在绑定关系：单个特定资源对应的令牌长度固定，但同一长度可对应多个不同资源的访问授权（例如访问资源A返回的令牌长度固定为123，但长度为123的令牌也可能是资源C的访问凭证）
• 目前累计观测到约10种不同的令牌长度，对应不同类型的授权载荷，常规载荷的长度区间为700-800字节
• 即使重复访问同一个已知资源，令牌头部、签名之后的载荷内容也完全不重复，不存在固定复用的情况。

截短令牌解码十六进制样本 #

00000000  00 E5 7D AF BA 86 0C D2 20 20 1D B3 44 0D 57 F6  |.å}¯º..Ò  .³D.Wö|
00000010  96 91 5B 29 BC E9 CC 78 FA 05 95 B9 51 9B A7 3A  |..[)¼éÌxú..¹Q.§:|

内容的提问来源于stack exchange，提问作者Grey