Sign in with Google .NET服务端验证Google ID token的实现方案疑问

明确结论 #

优先选择官方.NET客户端库完成校验，次选成熟的第三方JWT库，绝对不要自行编写校验逻辑。

关于官方库「维护模式」的说明 #

你看到的「仅处于维护模式」标识不影响正常使用：

• 该标识仅代表官方不会为其新增非必要的大功能，安全补丁、bug修复、适配Google身份接口变更的更新都会正常推送
• ID Token校验逻辑是Google身份体系中非常成熟的模块，多年没有发生过核心规则变更，现有版本已经完全覆盖GSI功能的所有校验要求

官方库使用代码示例 #

你只需要安装Google.Apis.Auth这个NuGet包即可，不需要引入其他无关的Google API组件，调用逻辑非常简洁：

using Google.Apis.Auth;
using System.Collections.Generic;
using System.Threading.Tasks;

// 验证方法示例
public async Task<GoogleJsonWebSignature.Payload> VerifyGoogleIdToken(string idToken)
{
    var validationParams = new GoogleJsonWebSignature.ValidationSettings
    {
        // 替换为你在Google Cloud控制台申请的OAuth客户端ID
        Audience = new List<string> { "your-client-id.apps.googleusercontent.com" }
    };

    // 该方法内部已经自动完成所有官方要求的校验项：签名验证、发行方校验、受众校验、过期时间校验
    var validPayload = await GoogleJsonWebSignature.ValidateAsync(idToken, validationParams);
    return validPayload;
}

验证通过后返回的Payload中已经包含了用户的邮箱、姓名、头像地址、邮箱验证状态等所有你需要的身份信息，直接读取使用即可。

若选择第三方JWT库的注意事项 #

如果因为项目依赖冲突等原因不想使用官方库，必须使用经过社区广泛验证的成熟JWT库（比如微软官方的System.IdentityModel.Tokens.Jwt），且必须完整校验以下所有字段，缺失任意一项都可能存在身份伪造风险：

• JWT签名和Google公开的JWKS公钥匹配，公钥需要定期自动拉取更新，不要硬编码
• iss（发行方）字段的值只能是accounts.google.com或者https://accounts.google.com
• aud（受众）字段的值必须和你的项目OAuth客户端ID完全一致
• exp（过期时间）未超过当前时间
• iat（签发时间）不存在明显的时间异常

为什么绝对不能自行编写校验逻辑 #

JWT校验存在非常多容易被忽略的安全边界场景，比如签名算法篡改攻击、时区处理错误、公钥轮换异常、特殊字符注入等，自行编写的逻辑很容易出现疏漏，直接导致账号体系被攻破，完全没有必要自行踩坑。

内容的提问来源于stack exchange，提问作者centralscru