谷歌的用户信息API是否提供任何保证？

Question

几个月前，我们为我们的网站实施了谷歌OAuth。到目前为止，有两个用户（约100个）的用户信息配置文件不完整。我们使用有效的令牌调用“https://www.googleapis.com/oauth2/v1/userinfo？”，并且响应 json 仅包含 [区域设置、verified_email、电子邮件、id]。

文件(https://developers.google.com/accounts/docs/OAuth2Login#userinfocall)不明确，但我解释它们的方式，

响应应始终包括：[id、email、verified_email、name、given_name、family_name，时区、性别]，有时还包括：[picture，locale]

有人知道UserInfo API附带什么样的保证吗？我应该拒绝不完整的配置文件为无效吗？对于配置文件不完整的原因还有其他解释吗？

更新 3/6/14
我能够重现问题。我们将用户发送到Google请求，两个范围：

https://www.googleapis.com/auth/userinfo.profile
和
https://www.googleapis.com/auth/userinfo.email

据我所知，谷歌不允许用户挑选他们允许的范围。要么全有，要么全无。但是，我能够从URL中删除用户信息.profile范围并重新加载页面。这导致我使用有效的令牌发回，但不是正确的范围。我需要命中令牌信息终结点，并确保已授权正确的作用域。

Answer 1

我也遇到过同样的问题。对于某些个人资料，“userinfo”范围不会返回given_name和family_name。在我找到原因之前，我在没有返回值的情况下为这两个使用空白字符串。我不能假设Google让人们在不提供名字和姓氏值的情况下创建Google帐户。Google API有错误、缓慢且令人困惑。所以我宁愿假设这是API问题。

Answer 2

NB:这是我的想法:

我也已经与OAuth合作了一段时间，并且在Facebook个人资料的多次场合中遇到了这个问题。说实话，我不明白为什么请求应该返回不完整的数据（假设范围是正确的），除了来自提供者的实际配置文件不完整（尽管你有这个[区域设置，verified_email，电子邮件，id]而没有[名字，姓氏]是没有意义的）。例如，某些个人资料没有个人资料图片 e.t.c.

总而言之，我会说：这是不能保证的（这不仅仅是谷歌特有的）。我以前编写过 OAuth 身份服务器，OAuth 不执行任何操作（除非我错过了它）来强制实施必须通过 API 公开的数据类型。您应该在存储数据之前检查数据。

至于拒绝简介部分，我认为这应该是你在申请中设定的一个标准，比如说，你不接受没有< code>firstName的简介。

Answer 3

您是否也在使用开放ID？我强烈怀疑这些用户实际上没有有效的用户信息OAuth令牌，而是您正在获取与较弱的OAuth权限相对应的数据。理想情况下，询问这些用户您的网站的哪些数据出现在他们的Google帐户安全页面中，并将其与功能用户（例如您自己）的数据进行比较。

尝试吊销令牌并无论如何都要命中终结点，看看会得到什么结果。