不使用Google客户端库 仅通过HTTP Post实现Google服务账号鉴权的方法

整个流程完全不需要依赖Google官方Auth客户端库，仅用Auth0 Hook内置的request库、Node.js原生内置的crypto模块即可完成，核心是基于Google公开的OAuth2 JWT交换接口实现，不存在非公开的私有接口。

前置准备 #

• 从已生成的auth0-hook-sa.key.json服务账号私钥文件中提取三个必要字段：
  • private_key：PEM格式的RSA私钥字符串
  • client_email：服务账号的完整邮箱标识
  • token_uri：文件内置的令牌交换地址
• 确认已完成服务账号对目标Cloud Function的IAM角色绑定

操作步骤 #

1. 构造自签名JWT #

按照Google OAuth2规范生成符合要求的JWT，三段结构均做base64url编码：

• Header 固定为：{"alg":"RS256","typ":"JWT"}
• Payload 必须包含以下声明：
  • iss：和client_email完全一致的服务账号邮箱
  • scope：https://www.googleapis.com/auth/cloud-platform（可覆盖Cloud Function的IAM鉴权访问要求）
  • aud：和私钥文件中的token_uri完全一致
  • iat：当前秒级Unix时间戳
  • exp：iat + 3600（最大有效期不能超过1小时，否则会被接口拒绝）
• 签名：将header和payload分别做base64url编码后用.拼接，使用原生crypto模块以RS256算法、提取到的PEM私钥对拼接串做签名，将签名结果同样做base64url编码后追加到拼接串末尾，得到完整的自签名JWT。
  • 注意base64url编码和普通base64的规则差异：替换普通base64中的+为-、/为_，移除末尾的=填充字符；整个签名过程使用Node.js原生内置的crypto模块即可完成，不需要额外引入第三方加密库，完全符合Auth0 Hook的环境限制

2. 调用公开令牌接口交换访问令牌 #

使用内置的request库向私钥中的token_uri发送POST表单请求，请求参数为：

• grant_type：固定值urn:ietf:params:oauth:grant-type:jwt-bearer
• assertion：上一步生成的完整自签名JWT
• 接口返回的JSON响应中，access_token字段即为可用于访问Cloud Function的短期访问令牌，有效期1小时。

3. 携带令牌调用Cloud Function #

再次使用request库向Cloud Function的HTTP触发端点发送业务POST请求，请求头中添加：
Authorization: Bearer <上一步拿到的access_token>
即可通过Cloud Function的IAM鉴权校验。

常见校验注意事项 #

• PEM私钥的字符串换行符必须完整保留，不能因JSON转义丢失格式，否则会导致签名校验失败
• 令牌交换请求不需要添加额外的自定义请求头，接口完全公开可访问
• JWT的过期时间不能早于当前服务器时间，否则会被接口直接拒绝

内容的提问来源于stack exchange，提问作者xetra11