ASP.NET Core集成Google One Tap登录回调处理实现方法

首先明确几个核心结论：

• Google One Tap 回调提交的是标准表单编码请求，核心字段只有credential和可选的CSRF校验字段，没有官方专属的复杂绑定模型，自己定义简单类接收即可。
• credential字段是谷歌签发的带签名JWT令牌，用户信息明文存储在JWT负载中，不需要解密，但必须先通过谷歌官方库校验签名合法性，禁止直接解析未校验的JWT内容。
• 你之前尝试调用的AuthenticateAsync(GoogleDefaults.AuthenticationScheme)是适配传统OAuth302跳转登录流程的，One Tap前端直传JWT的模式走不通这套逻辑，需要单独处理。

步骤1：定义表单接收模型 #

替换你代码里的占位类型Xoxo即可，ASP.NET Core [FromForm] 绑定默认支持大小写不敏感匹配，不需要额外处理字段名映射：

public class GoogleOneTapCallbackDto
{
    /// <summary>
    /// Google签发的JWT身份凭证
    /// </summary>
    public string Credential { get; set; }
    /// <summary>
    /// 双提交CSRF校验Token
    /// </summary>
    public string G_csrf_token { get; set; }
}

步骤2：安装依赖 #

如果你还没装官方校验库，执行NuGet安装命令即可：

Install-Package Google.Apis.Auth

这个库是谷歌官方维护的，内置了JWT签名校验、证书自动轮换逻辑，不需要自己手写验签代码。

步骤3：完整回调实现 #

去掉你手动读取Request.Body的代码，直接用模型绑定接收参数，完整控制器逻辑如下：

[ApiController]
[Route("api/v1")]
public class AuthController : ControllerBase
{
    private readonly string _googleClientId;
    private readonly ILogger<AuthController> _logger;

    // 从配置中读取Google OAuth客户端ID，不要硬编码在代码里
    public AuthController(IConfiguration configuration, ILogger<AuthController> logger)
    {
        _googleClientId = configuration["Authentication:Google:ClientId"] 
            ?? throw new ArgumentNullException("Google ClientId未配置");
        _logger = logger;
    }

    [HttpPost("AuthCallback")]
    public async Task<IActionResult> GoogleOneTapCallback([FromForm] GoogleOneTapCallbackDto callbackData)
    {
        if (string.IsNullOrWhiteSpace(callbackData.Credential))
        {
            return BadRequest("缺失身份凭证");
        }

        // 可选CSRF校验：对比Cookie和表单提交的CSRF Token
        if (Request.Cookies.TryGetValue("g_csrf_token", out var cookieCsrfToken))
        {
            if (string.IsNullOrWhiteSpace(callbackData.G_csrf_token) || 
                callbackData.G_csrf_token != cookieCsrfToken)
            {
                return BadRequest("CSRF校验失败");
            }
        }

        try
        {
            // 官方方法自动完成所有校验：签名合法性、签发方合法性、令牌过期校验、受众（ClientID）匹配校验
            var validUserPayload = await GoogleJsonWebSignature.ValidateAsync(
                callbackData.Credential, 
                new GoogleJsonWebSignature.ValidationSettings
                {
                    Audience = new[] { _googleClientId }
                });

            // 校验通过后直接读取用户信息，所有字段均为明文，无需额外解密
            var googleUid = validUserPayload.Subject; // 谷歌侧用户唯一标识，建议作为用户系统外键使用
            var email = validUserPayload.Email;
            var isEmailVerified = validUserPayload.EmailVerified; // 必须确认邮箱已验证再使用
            var displayName = validUserPayload.Name;
            var avatarUrl = validUserPayload.Picture;

            // 此处插入你自己的业务逻辑：查询/创建本地用户、签发登录Cookie
            var userClaims = new List<Claim>
            {
                new Claim(ClaimTypes.NameIdentifier, googleUid),
                new Claim(ClaimTypes.Email, email),
                new Claim(ClaimTypes.Name, displayName)
            };
            var claimsIdentity = new ClaimsIdentity(userClaims, "GoogleOneTap");
            var claimsPrincipal = new ClaimsPrincipal(claimsIdentity);
            // Blazor Server 登录签发Cookie，和普通表单登录逻辑一致
            await HttpContext.SignInAsync(claimsPrincipal);

            // 登录成功后跳转到业务首页
            return Redirect("/");
        }
        catch (InvalidJwtException ex)
        {
            // 校验失败场景：伪造签名、令牌过期、ClientID不匹配等
            _logger.LogWarning(ex, "Google One Tap凭证校验失败");
            return Unauthorized("登录凭证无效");
        }
    }
}

关键注意点 #

• 不要手动读取Request.Body获取表单数据，ASP.NET Core 原生表单绑定已经能完整处理One Tap提交的请求，手动读Body反而可能因为模型绑定已经读取过请求流导致读不到内容。
• 禁止跳过JWT校验直接Base64解码Payload拿用户信息，否则攻击者可以伪造任意邮箱的JWT直接登录你的系统。
• 生产环境记得把data-login_uri的地址换成HTTPS地址，谷歌One Tap生产环境不支持HTTP地址的回调。
• 如果你需要额外传自定义参数，不要用data-your_own_param_xxx这种格式，直接把参数拼在data-login_uri的查询字符串里即可，回调时可以通过Request.Query读取。

内容的提问来源于stack exchange，提问作者Thierry Brémard