Google社交登录能否通过Cookie实现用户登录状态校验

Cookie完全可以用于登录状态校验，但你当前的实现方式存在本质逻辑缺陷，完全达不到“仅PHP完成登录流程的用户才可正常访问目标页面”的安全要求。

• 现有实现的风险：你当前通过前端JS直接把Google返回的id_token写入浏览器Cookie的方案，把校验的信任边界完全放在了前端。这类前端可读写的Cookie可被用户任意篡改，攻击者不需要走真实的Google登录流程，只要手动在Cookie中填入伪造的内容就能绕过校验进入页面，完全不符合访问规则的要求。
• 前端JS校验的问题：如果靠JS在页面加载后判断登录状态做跳转，页面主体内容会先加载完成再执行跳转逻辑，未登录用户可以直接查看页面源码、绕过JS拦截获取内容，从根本上违反访问规则的要求。

1. 前端拿到Google返回的id_token后，不要直接操作Cookie，通过AJAX请求把token提交到自己的PHP后端登录接口。
2. PHP后端拿到提交的id_token后完成全量合法性校验：包括token签名有效性、签发时间是否在有效期内、受众字段匹配自身申请的Google Client ID、签发方为Google官方认证地址，确保token真实有效。
3. 校验通过后，PHP侧将关联的本地用户身份信息写入服务端Session，由PHP设置带HttpOnly属性的会话Cookie——这类Cookie前端JS无法读取，从根源上避免被篡改。
4. 所有受保护的页面，在PHP渲染输出内容的最开头，先检查Session中的登录标识，未通过校验的直接在PHP层做302跳转，不输出任何页面内容，完全匹配访问规则要求。

你现有前端代码的核心修改逻辑如下：

function onSignIn(googleUser) {
  const id_token = googleUser.getAuthResponse().id_token;
  // 删除前端直接写Cookie的逻辑，改为将token提交给PHP后端
  fetch('/api/google-login', {
    method: 'POST',
    headers: {'Content-Type': 'application/x-www-form-urlencoded'},
    body: `id_token=${id_token}`
  }).then(res => res.json()).then(res => {
    if(res.loginSuccess) window.location.reload();
  })
}

• 确认PHP配置中session.cookie_httponly已开启，确保会话Cookie不会被前端JS读取篡改
• 在Google Cloud后台的授权配置中，把本地开发地址（如http://localhost）加入授权回调域列表，避免跨域拦截
• 不要将Google返回的原始id_token直接存在客户端Cookie中作为校验依据，这类公开可获取的token不具备服务端校验能力

内容的提问来源于stack exchange，提问作者Fon