Android端Google登录tokenId与后端服务器验证方案咨询

1. 是否需要为tokenId单独添加字段？ #

不需要长期存储tokenId——Google的ID Token是短期有效（默认1小时）的一次性凭证，验证完成后就失去作用了。你真正需要在user表中存储的是Google返回的用户唯一标识sub字段，这个值是永久不变的，每个Google用户对应唯一的sub，用来关联你的本地用户账号和Google账号。如果你的表还没有这个字段，建议新增一个google_sub（或google_id）的字符串类型字段。

2. 如何完成tokenId的验证？ #

完整验证流程分为两步：

• 客户端通过Volley将用户登录后获取到的tokenId发送到你的PHP后端接口；
• 后端调用Google官方验证服务，确认tokenId的合法性：
  • 校验签名有效性，确保是Google签发的凭证；
  • 检查token是否过期；
  • 验证token的aud（受众）字段是否匹配你的Google OAuth客户端ID，防止第三方伪造请求；
  • 验证通过后，从token的payload中提取sub、email、name等信息，与数据库进行关联操作。

3. 对应的PHP脚本修改 #

这里提供两种实现方式，优先推荐官方库方案，安全性更高：

方式一：使用Google官方PHP客户端库（推荐）

首先通过Composer安装依赖：

composer require google/apiclient:^2.0

然后编写验证接口代码：

<?php
require_once 'vendor/autoload.php';

// 替换为你的Google OAuth客户端ID
$client = new Google_Client(['client_id' => 'YOUR_GOOGLE_CLIENT_ID']);

// 接收Volley传来的tokenId
$tokenId = $_POST['tokenId'] ?? '';

try {
    // 验证token并解析用户信息
    $payload = $client->verifyIdToken($tokenId);
    if ($payload) {
        $googleSub = $payload['sub'];
        $email = $payload['email'];
        $name = $payload['name'] ?? '未知用户';

        // 连接MySQL数据库（替换为你的数据库信息）
        $conn = new mysqli('localhost', 'DB_USERNAME', 'DB_PASSWORD', 'DB_NAME');
        if ($conn->connect_error) {
            die(json_encode(['status' => 'error', 'message' => '数据库连接失败']));
        }

        // 检查用户是否已存在
        $stmt = $conn->prepare("SELECT id FROM user WHERE google_sub = ?");
        $stmt->bind_param("s", $googleSub);
        $stmt->execute();
        $stmt->store_result();

        if ($stmt->num_rows > 0) {
            // 用户已存在，可选择更新用户信息或直接返回登录成功
            echo json_encode(['status' => 'success', 'message' => '登录成功']);
        } else {
            // 用户不存在，插入新用户记录
            $stmt = $conn->prepare("INSERT INTO user (google_sub, email, name) VALUES (?, ?, ?)");
            $stmt->bind_param("sss", $googleSub, $email, $name);
            if ($stmt->execute()) {
                echo json_encode(['status' => 'success', 'message' => '新用户注册成功']);
            } else {
                echo json_encode(['status' => 'error', 'message' => '用户注册失败']);
            }
        }

        $stmt->close();
        $conn->close();
    } else {
        echo json_encode(['status' => 'error', 'message' => '无效的Token']);
    }
} catch (Exception $e) {
    echo json_encode(['status' => 'error', 'message' => 'Token验证失败：' . $e->getMessage()]);
}
?>

方式二：手动调用Google验证API（无需Composer）

如果不想使用Composer，可以直接发送HTTP请求到Google的验证端点：

<?php
$tokenId = $_POST['tokenId'] ?? '';
$clientId = 'YOUR_GOOGLE_CLIENT_ID';

// 调用Google验证接口
$url = "https://oauth2.googleapis.com/tokeninfo?id_token=" . urlencode($tokenId);
$response = file_get_contents($url);
$payload = json_decode($response, true);

// 验证结果合法性
if (isset($payload['aud']) && $payload['aud'] === $clientId && !isset($payload['error'])) {
    $googleSub = $payload['sub'];
    $email = $payload['email'];
    $name = $payload['name'] ?? '未知用户';

    // 数据库操作与方式一一致，省略重复代码
    $conn = new mysqli('localhost', 'DB_USERNAME', 'DB_PASSWORD', 'DB_NAME');
    // ... 检查/插入用户逻辑
} else {
    echo json_encode(['status' => 'error', 'message' => 'Token验证失败']);
}
?>

关键注意事项 #

• 确保你的Google OAuth客户端ID正确，且在Google Cloud控制台中已添加应用的授权域名/包名；
• 绝对不要在客户端做token验证，必须在后端完成，避免被伪造请求；
• 如果需要长期保持用户登录状态，可以考虑配置获取Google的Refresh Token（需设置access_type=offline），但移动端一般通过短期ID Token验证+本地存储用户信息即可满足需求。

内容的提问来源于stack exchange，提问作者Yash