OpenID Connect ID Token能否用于API身份验证？MERN应用Google登录问询

你的方案完全符合OpenID Connect规范，是可行的，不需要额外引入重量级的OAuth2授权服务器。

核心问题解答 #

1. 通过Authorization Code Grant在服务端获取ID Token能否用于自有API身份验证？
   可以，只要你严格完成ID Token的合法性校验，这套机制完全可以支撑你自有API的身份认证需求。
2. API服务端是否属于OIDC客户端，aud校验是否符合要求？
   你当前场景下，Express后端就是OpenID Connect定义的机密客户端（Confidential Client），你在Google Cloud Console申请的Client ID就是下发给这个客户端的。你从Google获取的ID Token的aud（受众）字段默认就是你的Client ID，你后端校验aud和自己持有的Client ID一致即可，完全符合OIDC规则。

流程实现注意事项 #

你当前的设计逻辑没有问题，只需要注意几个安全和实现细节：

• 回调地址建议换成Express后端的接口，而不是React前端地址。Google回调时直接把授权码发给后端，后端直接用授权码换ID Token，不需要前端中转授权码，减少泄露风险。
• 你现在配置的scope只有openid，如果需要获取用户邮箱、头像等信息，需要额外添加email、profile scope。
• 后端拿到Google返回的ID Token后，必须完成以下校验，不能直接使用：
  • 用Google的公开密钥验证ID Token的签名，确保是Google官方签发、没有被篡改
  • 校验iss（签发者）必须是https://accounts.google.com或accounts.google.com
  • 校验aud（受众）必须和你申请的Client ID完全一致
  • 校验exp（过期时间），拒绝已过期的ID Token
  • 若生成授权链接时传入了nonce参数，也要校验nonce匹配，防止重放攻击
• 校验通过后，你可以从ID Token中提取sub字段（Google用户的唯一永久标识），和你自有系统的用户表绑定：第一次登录时自动创建对应用户，后续登录时直接匹配到已有用户即可。
• 后续前端调用API的凭证，你可以二选一：
  • 方案一：后端生成HttpOnly的Session Cookie，前端后续请求自动携带，后端校验Session即可，是最简单的方案
  • 方案二：后端自己签发短有效期的JWT作为Access Token返回给前端，前端请求时放在Authorization头中携带，你后端自己校验JWT有效性即可

ID Token不能用于API校验的场景说明 #

你之前看到的「ID Token不能用于访问API」的结论，针对的是客户端和资源服务器是两个独立受众的场景：比如你的前端Client ID是A，你的独立API服务的预期受众是B，那么ID Token的aud是A，和API要求的B不匹配，自然不能用。但你当前的场景里API和OIDC客户端是同一个服务的前后端，校验aud匹配你自己的Client ID即可，不存在冲突问题。

你当前的示例代码稍作调整即可使用，调整后的参考代码如下：

const { google } = require("googleapis");

const oauth2Client = new google.auth.OAuth2(
    '你的Google Client ID',
    '你的Google Client Secret',
    "http://你的Express后端地址/oauthcallback", // 回调地址换成后端接口
);

const scopes = ["openid", "email", "profile"]; // 按需添加scope

const url = oauth2Client.generateAuthUrl({
  access_type: "offline",
  scope: scopes,
  nonce: '随机生成的字符串，存在Session里用于后续校验' // 可选，增加安全性
});

// 获取授权链接接口
async function getAuthUrl(req, res) {
  res.status(200).json({ url });
}

// 回调处理接口
async function oauthCallback(req, res) {
  const { code } = req.query;
  // 用code换token
  const { tokens } = await oauth2Client.getToken(code);
  const idToken = tokens.id_token;
  // 这里添加ID Token校验逻辑
  // 校验通过后处理用户绑定、生成会话/自有Token
  // 最后重定向回前端页面
  res.redirect('http://你的前端地址/登录后页面');
}

流程示意图参考：

内容的提问来源于stack exchange，提问作者user2897377