使用Google oAuth 2.0无记名令牌进行Azure应用服务身份验证

Question

我们使用应用服务身份验证来保护网络 API，并使用 Google 作为身份验证提供程序。当我们从浏览器触发请求时（当会话信息在cookie中时），它按预期工作

IIS日志:

2016-05-29T13:51:19 PID[3600]详细接收请求：GEThttps://XXXXXX.azurewebsites.net/api/user2016-05-29T13:51:19 PID[3600]详细找到站点“XXXXXX.azurewebsites.net”的“AppServiceAuth会话”cookie。长度：728。2016-05-29T13:51:19 PID[3600]详细认证[e-mail]成功使用“会话Cookie”身份验证。

但是，当我们使用API测试工具（如Postman）并使用持有者令牌设置授权标头时，它总是会导致重定向。

IIS日志:

2016-05-29T13:53:38 PID[3600]收到的详细请求:POST https://XXXXX.azurewebsites.net/api/user 2016-05-29t 13:53:38 PID[3600]信息重定向:https://accounts.google.com/o/oauth2/v2/auth?响应类型=代码

我们还尝试使用相同的持有者令牌设置 X-ZUMO-AUTH 标头，但我们看到错误，因为令牌不是预期的格式。显然，它需要编码的JWT令牌。

IIS日志:

016-05-29T13:51:52 PID[3600]收到的详细请求:POST https://XXXXXX.azurewebsites.net/api/user 2016-05-29t 13:51:52 PID[3600]警告JWT验证失败:IDX10708:'系统。“identity model . tokens . jwtsecuritytokenhandler”无法读取此字符串:“Bearer ya29。XXXXXXXXXX _ RDrX _ zsuvmx 49 e _ 9 QS 5 ecz 9 f1 yhde 5j 4h 9 grn 6 opkjlxvn 1 ijzjhxa _ Q '。该字符串需要采用紧凑的JSON格式，其形式为:“..”..2016-05-29T13:51:52信息重定向:https://accounts.google.com/o/oauth2/v2/auth?响应类型=代码

注意:从谷歌获得的不记名令牌是有效的，因为我们可以通过打电话到https://www.googleapis.com/oauth2/v3/tokeninfo?核实细节访问令牌=[令牌]

请建议。

Answer 1

>

从应用服务门户打开身份验证/授权

浏览到需要身份验证的Web应用程序或API，您将被重定向到google登录页面，当您身份验证成功时，响应将包含：

• "id_token"：这个令牌可以从响应中提取，或者通过访问令牌存储 /.auth/me
• "redirect_uri"此标记将包含在响应正文中，您也可以在以下步骤中静态设置它，因为这是回调URL，除非您从google控制台更改它，否则它不应该更改

使用以下 JSON 有效负载 {“redirect_uri”：“”id_token“：”}“}向 https://{主机名}/.身份验证/登录/谷歌发出请求。成功的响应将包含“身份验证令牌”存储此令牌或缓存它

对需要身份验证的 API 的后续请求应包含 HTTP 请求标头：

“x-zumo-auth”值为“AuthenitActionToken”

奖励：为了验证您的令牌，您可以使用以下JSON付费负载{"id_token":""}, 响应应指定令牌是否有效

Answer 2

您使用的 Google 令牌是访问令牌，而不是持有者令牌。它可用于访问 Google 资源，但不能用于通过您的网络 API 进行身份验证。

我无法找到关于此的好文档，但我可以告诉您它在这里起作用：

1. 在您的客户端应用程序中，您必须从Google获取id_token和授权码。当用户使用Google OpenID Connect登录时，您通常会收到此信息。我假设您已经知道如何执行此操作，因为您已经知道如何获取访问令牌。
2. 向https：//{host name}/. auth/login/google发送一个POST请求，其JSON有效负载如下所示{"authorization_code"："