如何基于Lumen开发支撑安卓APP Gmail登录及令牌校验的API

• 很多开发者刚开始会错传Google OAuth返回的Access Token（用于调用Google业务API的凭证），实际需要传递的是移动端完成Google授权后拿到的ID Token。ID Token是Google专门为身份校验场景签发的JWT格式凭证，自带经过签名的用户身份声明，完全匹配你不需要Lumen实现原生账号登录、仅依托Google侧完成身份验证的需求。
• 传递规范：按照标准的Bearer认证格式放到请求的Authorization头中，写法为Authorization: Bearer <获取到的Google ID Token>，不需要额外传其他自定义身份参数。

• 第一层格式校验：先对拿到的ID Token做基础结构校验，核对令牌的签发主体是否为Google官方身份服务、令牌中的受众字段（aud）是否为你在Google开放平台注册的移动端应用对应的客户端ID，过滤掉结构非法、不属于本应用的伪造令牌。
• 第二层权威有效性校验：直接通过Google官方提供的令牌校验能力对提交的ID Token做合法性验证，获取校验通过后返回的结构化用户信息（包含用户唯一Google ID、邮箱、公开昵称等基础资料），如果校验不通过直接返回401未授权响应。
• 第三层业务逻辑衔接：校验通过后，用返回的用户唯一Google ID匹配自身业务库内的用户记录，无匹配记录则直接创建对应账号档案，全程不需要触发Lumen原生的账号密码校验逻辑。

注意：整个流程的所有授权交互（包括弹出Google登录窗、用户确认授权、令牌获取）都在移动端完成，Lumen端不需要实现Google授权跳转、用户交互相关的逻辑，仅承担令牌校验和账号匹配的角色即可。

内容的提问来源于stack exchange，提问作者Sina Yr