如何将Google登录用户信息从客户端发至服务端？或在服务端运行onSignIn？

首先明确两个核心问题：

• 不建议直接把googleUser.getBasicProfile()返回的信息发送到服务端，这存在严重安全风险——前端数据可以被随意篡改，服务端无法确认这些信息是否真的来自Google的合法登录。Google的代码注释也明确提示了：// Do not send to your backend! Use an ID token instead.
• onSignIn()是Google登录按钮触发的前端回调函数，完全无法放在服务端运行，它必须在浏览器环境中执行，用来接收Google返回的用户登录凭证。

正确的做法：用ID Token做安全验证 #

Google登录的标准安全流程是：前端获取Google签发的ID Token，将其发送到服务端；服务端通过Google官方工具验证Token的合法性，验证通过后再从Token中提取可信的用户信息。

步骤1：修改前端代码，获取并发送ID Token

更新你的onSignIn函数，添加获取ID Token并向服务端发送请求的逻辑：

function onSignIn(googleUser) {
  // 前端展示用户信息（仅用于页面显示，不要直接发后端）
  var profile = googleUser.getBasicProfile();
  console.log('Name: ' + profile.getName());
  console.log('Email: ' + profile.getEmail());

  // 获取Google签发的ID Token
  var id_token = googleUser.getAuthResponse().id_token;

  // 将ID Token发送到服务端接口
  fetch('/api/google-login', {
    method: 'POST',
    headers: {
      'Content-Type': 'application/json',
    },
    body: JSON.stringify({ idToken: id_token }),
  })
  .then(response => response.json())
  .then(data => {
    console.log('服务端验证结果:', data);
    // 这里可以根据服务端返回结果处理登录状态，比如保存用户信息到本地存储
  })
  .catch(error => {
    console.error('发送请求失败:', error);
  });

  // 切换登录/登出按钮显示
  document.getElementById("signin").style.display = "none"
  document.getElementById("signout").style.display = "block"
}

步骤2：服务端验证ID Token并提取用户信息

以Node.js为例，使用Google官方的google-auth-library包来验证Token：
首先安装依赖：

npm install google-auth-library

然后编写服务端验证逻辑：

const { OAuth2Client } = require('google-auth-library');
// 替换成你自己的Google客户端ID（和前端使用的ID必须一致）
const client = new OAuth2Client('你的Google客户端ID');

async function verifyGoogleToken(idToken) {
  try {
    const ticket = await client.verifyIdToken({
      idToken: idToken,
      audience: '你的Google客户端ID', // 必须与前端客户端ID匹配
    });
    const payload = ticket.getPayload();
    // 从payload中提取可信的用户信息
    const trustedUserInfo = {
      userId: payload.sub, // Google用户的唯一标识ID
      name: payload.name,
      email: payload.email,
      avatar: payload.picture,
      isEmailVerified: payload.email_verified
    };
    return { success: true, user: trustedUserInfo };
  } catch (error) {
    return { success: false, message: 'Token验证失败，可能是伪造或已过期' };
  }
}

// 假设用Express框架处理接口请求
app.post('/api/google-login', async (req, res) => {
  const { idToken } = req.body;
  const verificationResult = await verifyGoogleToken(idToken);
  res.json(verificationResult);
});

为什么要这么做？ #

• 安全性：ID Token是Google用私钥签名的，服务端通过公钥验证后，可以100%确认Token没有被篡改，且来自合法的Google登录。
• 可信度：从Token的payload中提取的用户信息是Google官方签发的，比前端直接发送的信息更可靠，不会被恶意伪造。

内容的提问来源于stack exchange，提问作者jontus technology