Android中如何限制Google Sign In仅允许特定邮箱域名登录？

当然可以实现！这其实是Google Sign In非常常见的企业级需求，我来给你一步步拆解可行的实现方案：

一、Google Cloud 控制台基础配置（可选但推荐） #

这一步能从OAuth层面先做基础限制，减少无效请求：

• 进入你的项目对应的Google Cloud控制台，找到OAuth consent screen页面
• 在Authorized domains列表中添加你的公司域名companyname.com
• 务必确保在Scopes for Google APIs中勾选了email权限——这是后续获取用户邮箱的必要前提

二、Android客户端侧的即时校验 #

当用户完成Google登录授权后，你可以从返回的GoogleSignInAccount对象中提取邮箱地址，直接做域名校验：

// 登录回调中获取账户信息
override fun onActivityResult(requestCode: Int, resultCode: Int, data: Intent?) {
    super.onActivityResult(requestCode, resultCode, data)
    if (requestCode == RC_SIGN_IN) {
        val task = GoogleSignIn.getSignedInAccountFromIntent(data)
        try {
            val account = task.getResult(ApiException::class.java)
            val userEmail = account?.email
            
            // 核心域名校验逻辑
            if (userEmail?.endsWith("@companyname.com") == true) {
                // 域名合法，继续后续业务流程（比如请求后端接口）
            } else {
                // 域名不合法，提示用户并清理当前登录状态
                GoogleSignIn.getClient(this, GoogleSignInOptions.DEFAULT_SIGN_IN).signOut()
                Toast.makeText(this, "仅允许使用@companyname.com域名的邮箱登录", Toast.LENGTH_SHORT).show()
            }
        } catch (e: ApiException) {
            // 处理登录异常
        }
    }
}

三、后端侧的强制校验（至关重要） #

客户端的校验很容易被篡改绕过，所以必须在后端再做一次权威验证：

1. 客户端登录成功后，将Google返回的idToken发送到你的后端服务
2. 后端调用Google官方的Token验证接口，解析出用户的真实邮箱地址
3. 后端再次校验邮箱域名是否为@companyname.com，只有通过后才返回登录成功的结果

// 后端校验伪代码（Java示例）
public boolean validateGoogleLoginToken(String idToken) {
    GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(HTTP_TRANSPORT, JSON_FACTORY)
            .setAudience(Collections.singletonList("你的Android客户端ID"))
            .build();

    try {
        GoogleIdToken idTokenObj = verifier.verify(idToken);
        if (idTokenObj != null) {
            Payload payload = idTokenObj.getPayload();
            String userEmail = payload.getEmail();
            // 最终域名校验
            return userEmail != null && userEmail.endsWith("@companyname.com");
        }
    } catch (Exception e) {
        // 处理验证异常
    }
    return false;
}

额外补充：Firebase Auth场景的优化 #

如果你用Firebase Auth集成Google登录，可以在Firebase控制台再做一层补充限制：

• 进入Authentication -> Sign-in method -> Google，在Authorized domains添加你的公司域名
• 同时在Firebase安全规则中添加邮箱校验，防止非法用户访问资源：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if request.auth.token.email.matches(".*@companyname.com");
    }
  }
}

内容的提问来源于stack exchange，提问作者TJay