Исключение проверки токенов Google OAuth2 JWT

Не думайте, что это окончательное решение, но временная работа, которая определенно работает,-это изменить аудиторию верификатора на tokenId.

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory).setAudience(Arrays.asList(clientId)).build();

to

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
                    .setAudience(Arrays.asList(tokenResponse.getIdToken())).build();

первопричина находится на стороне Google, сертификаты в JSON находятся в плохом порядке:

https://www.googleapis.com/oauth2/v1/certs

вы можете настроить их порядок, например:

http://test.gacivs.info/frontend/certs.json

после этого вы можете указать свой пользовательский URL (или используя mine:) JSON с GooglePublicKeysManager.setPublicCertsEncodedUrl(...) метод:

final GoogleIdToken idToken = GoogleIdToken.parse(JSON_FACTORY, token);
final GooglePublicKeysManager manager = new GooglePublicKeysManager.Builder(HTTP_TRANSPORT, JSON_FACTORY).setPublicCertsEncodedUrl(CUSTOM_CERTS_URL).build();
final GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(manager).setAudience(Arrays.asList(CLIENT_ID)).build();
verifier.verify(idToken);

...и это завод.

Я надеюсь, Google исправить эту проблему в ближайшее время... :)

это скопировано из моего ответа здесь, но более актуально для тех, кто не использует Google Cloud Endpoint (соответствующий этому вопросу). Проблема вызвана этим:

• RSA имеет сигнатуры переменной длины, в зависимости от размера ключа.
• Google обновил пары ключей, которые он использует для подписи, и теперь одна из пар ключей генерирует другую подпись длины от другой
• java.security.Signature.verify(byte[] signature) выдает исключение, если подпись неправильная длина передается (вместо возврата false, что обычно делается, когда подпись не соответствует ключу)

самое простое решение-обернуть вызов verify (try...catch) и возвращает false, если вы получаете исключение

глядя на пример кода на http://android-developers.blogspot.com/2013/01/verifying-back-end-calls-from-android.html, похоже, вы можете изменить эту строку:

GoogleIdToken token = GoogleIdToken.parse(mJFactory, tokenString);

до

JsonWebSignature jws = JsonWebSignature.parser(mJFactory).setPayloadClass(Payload.class).parse(tokenString);
GoogleIdToken token = new GoogleIdToken(jws.getHeader(), (Payload) jws.getPayload(), jws.getSignatureBytes(), jws.getSignedContentBytes()) {
   public boolean verify(GoogleIdTokenVerifier verifier)
  throws GeneralSecurityException, IOException {
       try {
           return verifier.verify(this);
       } catch (java.security.SignatureException e) {
           return false;
       }
   }
};

I к сожалению, у вас нет точной настройки для проверки этого, дайте мне знать, работает ли это для вас.

мне кажется, что библиотеки могут вести себя плохо. В качестве альтернативы автономной проверке токенов вы можете использовать конечные точки OAuth2 Google для проверки токенов. Основной пример из API explorer можно посмотреть здесь.

вы можете проверить токен с помощью команды curl curl https://www.googleapis.com/oauth2/v2/tokeninfo?id_token=[id_token], например:

curl https://www.googleapis.com/oauth2/v2/tokeninfo?id_token=eyJhbGciOiJSUzI1NiIsImtpZCI6IjRlYjczOTg0MzBkNTNjZjZjNGZkMGU5YmM4NzkzZWViZWNkMWY1NWUifQ.eyJpc3MiOiJhY2NvdW50cy5nb29nbGUuY29tIiwic3ViIjoiMTA3Mzc3MTkxNjgxODAyNjY5ODY2IiwiYXpwIjoiMTE2MjY4ODY3NTIuYXBwcy5nb29nbGV1c2VyY29udGVudC5jb20iLCJhdF9oYXNoIjoieGJSVGJOdFJYRnJzcUJHTkRtRTR6USIsImF1ZCI6IjExNjI2ODg2NzUyLmFwcHMuZ29vZ2xldXNlcmNvbnRlbnQuY29tIiwiY19oYXNoIjoiU3JFa25WczRUejhQSWJicExnNXF2QSIsImlhdCI6MTQzNDA0MTY5OSwiZXhwIjoxNDM0MDQ1Mjk5fQ.vqQXCTFfbDqpTYnfFrDD7m68oEuGqd8NWa4s9wstOrrcyuVKUsqFXM_2bH-un_4C8UBvqtQEyzU_-53DxgvhCHQ7S0W-wtQ9YMoJcy7iL1wDjcy1p7aFVoeGCoqxWv1vzlWTUDu_FnD9oIBSAawyDexvRwwGxN8O1D8nzyj__1DQ_ivxIMF-j1W89mc7adK4p5B8ioZA_PI-AGawX2Nm8t58yBMIYrTk0XExr9Pf4eHHRGbrQxcd0ERGHbRMYuG6k-MzdnVNHIScgZ3Cixx9v15PbQ5hXExNvleifG_Wk3Thnz0j6Uacr4fbi-mO93-h8c0r3BSvQ270_JqlpL5q5Q

Если вы не хотите (или не можете) изменить источник библиотеки google, вы можете просто расширить GoogleIdTokenVerifier. (вы должны дублировать другой метод, который обращается к некоторым частным переменным-к счастью, все они доступны через get-members). Это работает для меня:

GoogleIdTokenVerifier myVerifier = new GoogleIdTokenVerifier(httpTransport, jsonFactory) {

    public boolean superVerify(IdToken idToken) {
              return (getIssuer()== null || idToken.verifyIssuer(getIssuer()))
                  && (getAudience() == null || idToken.verifyAudience(getAudience()))
                  && idToken.verifyTime(getClock().currentTimeMillis(), getAcceptableTimeSkewSeconds());
    }


    @Override
  public boolean verify(GoogleIdToken googleIdToken) throws GeneralSecurityException, IOException {
      // check the payload
      if (!superVerify(googleIdToken)) {
          log.info("superVerify returned false");
        return false;
      }
      // verify signature
      for (PublicKey publicKey : getPublicKeysManager().getPublicKeys()) {
              try {
                      if (googleIdToken.verifySignature(publicKey)) {
                              log.info("verifySignature: success!");
                              return true;
                      }
              } catch (Exception e) {
                      log.info("error verifying!", e);
              }
      }
      return false;
    }

};