基于Google Sign-in API实现特定域名邮箱登录限制

刚好做过类似的需求，给你整理几个实用的实现思路，从用户体验到安全保障都覆盖到了：

1. 前端快速拦截（提升用户体验） #

当Google Sign-In完成后，先在前端拿到用户的邮箱信息，直接检查后缀是否符合要求，这样能快速给用户反馈，不用等后端验证完才知道不能登录。

示例代码（用Google Identity Services JS库的场景）：

function handleCredentialResponse(response) {
  // 解析Google返回的用户信息
  const userInfo = JSON.parse(atob(response.credential.split('.')[1]));
  const allowedDomain = '@company.edu.in';
  
  // 检查邮箱后缀
  if (userInfo.email.endsWith(allowedDomain)) {
    // 符合要求，把凭证传给后端做最终验证
    fetch('/api/google-login', {
      method: 'POST',
      headers: { 'Content-Type': 'application/json' },
      body: JSON.stringify({ credential: response.credential })
    })
    .then(res => res.json())
    .then(data => {
      // 处理登录成功逻辑，比如跳转到首页
      window.location.href = '/dashboard';
    });
  } else {
    // 提示用户不允许登录
    alert('抱歉，仅支持@company.edu.in后缀的邮箱账号登录');
  }
}

⚠️ 重要提醒：前端拦截只是优化体验，绝对不能依赖它做安全验证——前端代码可以被篡改，必须配合后端的校验。

2. 后端核心验证（保障安全） #

后端必须对用户邮箱做二次校验，这是阻止非法登录的关键步骤，具体流程：

• 接收前端传来的Google ID Token（就是response.credential）
• 用Google官方SDK验证Token的合法性，确保信息没有被篡改
• 从验证后的Token中提取用户邮箱，检查后缀是否为@company.edu.in
• 只有符合条件的邮箱，才允许完成登录流程

示例代码（以Node.js + google-auth-library为例）：

const { OAuth2Client } = require('google-auth-library');
const client = new OAuth2Client(process.env.GOOGLE_CLIENT_ID);

async function googleLoginHandler(req, res) {
  const { credential } = req.body;
  const allowedDomain = '@company.edu.in';

  try {
    // 验证Google ID Token的合法性
    const ticket = await client.verifyIdToken({
      idToken: credential,
      audience: process.env.GOOGLE_CLIENT_ID, // 你的Google客户端ID
    });
    const payload = ticket.getPayload();
    const userEmail = payload.email;

    // 检查邮箱后缀是否符合要求
    if (userEmail.endsWith(allowedDomain)) {
      // 这里可以添加创建用户、生成会话等逻辑
      res.status(200).json({ 
        success: true, 
        message: '登录成功',
        user: { email: userEmail, name: payload.name }
      });
    } else {
      res.status(403).json({ 
        success: false, 
        message: '仅支持@company.edu.in后缀的邮箱登录' 
      });
    }
  } catch (error) {
    res.status(401).json({ 
      success: false, 
      message: '身份验证失败，请重试' 
    });
  }
}

3. 可选：Google Cloud端配置（更严格的限制） #

如果你用的是Google Workspace（原G Suite），可以直接在Google Cloud Console里设置组织限制，只允许你的域名下的用户登录，这样从登录请求层面就把不符合要求的用户拦住了：

• 登录Google Cloud Console，找到你的项目
• 进入「API和服务」→「凭据」→ 选中你的OAuth客户端ID
• 滚动到「限制」区域，选择「添加组织限制」，指定你的Google Workspace组织
• 这样只有该组织内的用户（也就是@company.edu.in后缀的邮箱）才能发起登录请求

内容的提问来源于stack exchange，提问作者user9404566