He estado creando un inicio de sesión de Google en mi sitio web. Este es mi código:
function gmailLogin(userInfo) { //geting the id_token var token_id = gapi.auth2.getAuthInstance().currentUser.get().getAuthResponse().id_token; jQuery.ajax({ url: "functions/login_check.php", type: "post", data: {token_id: token_id}, success: function(data) { //do something if success $('#console').html(data); } }); }Uso PHP curl para verificar la cuenta con este id_token y todo funciona bien.
Este es mi código php:
//token I got from the page previously using ajax $token_id = $_POST['token_id']; $verifyResponse = file_get_contents('https://oauth2.googleapis.com/tokeninfo?id_token='.$token_id); $response = json_decode($verifyResponse); if(isset($response->email_verified)) { //do stuff }Sin embargo, dado que id_token permanece igual para siempre . Puede causar lagunas de seguridad . ¿Hay alguna forma de restablecer este id_token usando PHP o Javascript ? Si no, ¿hay alguna otra forma de implementar este sistema de inicio de sesión fácilmente (sin bibliotecas externas y en php)?
El id_token es un JWT con un tiempo de vida corto. Google lo configuró en 1 hora. Puede verificarlo tomando el JWT y colocándolo en https://jwt.io .
La configuración de openid de google está ahí: https://accounts.google.com/.well-known/openid-configuration . Tiene un punto final de revocación para hacer lo que necesita.
En su código php, no veo la verificación que debe hacer en el id_token:
si no desea realizar estas verificaciones en su código PHP (porque ya lo hizo con js api de google), no envíe el id_token al backend. Envía el access_token. Tiene el mismo tiempo de vida que el id_token. Puede usarlo para obtener la información del usuario con la información de usuario del punto final. También puede revocarlo.
El tiempo de vida de los tokens no debe ser un problema para una aplicación web. Después de la autenticación con Google y verificar la información de los tokens, su aplicación necesita usar la sesión y trabajar con ella.