Google OAuth2 JWT token verification exception

ne pensez pas que ce soit la solution finale, mais un travail temporaire-autour qui fonctionne certainement est de changer le public du vérificateur au tokenId.

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory).setAudience(Arrays.asList(clientId)).build();

à

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
                    .setAudience(Arrays.asList(tokenResponse.getIdToken())).build();

la cause fondamentale est du côté de Google, les certs dans le JSON est dans le mauvais ordre:

https://www.googleapis.com/oauth2/v1/certs

vous pouvez ajuster leur ordre, comme ceci:

http://test.gacivs.info/frontend/certs.json

après, vous pouvez spécifier votre URL personnalisé (ou en utilisant mine :) du JSON avec le GooglePublicKeysManager.setPublicCertsEncodedUrl(...) méthode:

final GoogleIdToken idToken = GoogleIdToken.parse(JSON_FACTORY, token);
final GooglePublicKeysManager manager = new GooglePublicKeysManager.Builder(HTTP_TRANSPORT, JSON_FACTORY).setPublicCertsEncodedUrl(CUSTOM_CERTS_URL).build();
final GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(manager).setAudience(Arrays.asList(CLIENT_ID)).build();
verifier.verify(idToken);

...et il fonctionne.

j'espère, le Google corriger la question bientôt... :)

ceci est copié de ma réponse ici , mais plus pertinent pour ceux qui n'utilisent pas Google Cloud Endpoint (correspondant à cette question). Le problème est causé par ceci:

• RSA a des signatures de longueur variable, en fonction de la taille de la clé.
• Google a mis à jour les paires de clés qu'il utilise pour la signature, et maintenant l'une des paires de clés génère une signature de longueur différente de l'autre
• java.security.Signature.verify(byte[] signature) lance une exception si une signature de la mauvaise longueur est passée (au lieu de retourner false qui est normalement fait quand une signature ne correspond pas à la clé)

la solution la plus simple est d'envelopper l'appel vérifier ( try...catch ), et de retourner false si vous obtenez une exception

en regardant le code exemple sur http://android-developers.blogspot.com/2013/01/verifying-back-end-calls-from-android.html , il vous ressemble peut modifier cette ligne:

GoogleIdToken token = GoogleIdToken.parse(mJFactory, tokenString);

à

JsonWebSignature jws = JsonWebSignature.parser(mJFactory).setPayloadClass(Payload.class).parse(tokenString);
GoogleIdToken token = new GoogleIdToken(jws.getHeader(), (Payload) jws.getPayload(), jws.getSignatureBytes(), jws.getSignedContentBytes()) {
   public boolean verify(GoogleIdTokenVerifier verifier)
  throws GeneralSecurityException, IOException {
       try {
           return verifier.verify(this);
       } catch (java.security.SignatureException e) {
           return false;
       }
   }
};

Je n'ai malheureusement pas de configuration précise pour tester ceci, faites-moi savoir si cela fonctionne pour vous.

il me semble que les bibliothèques se comportent mal. Comme alternative à la vérification des tokens hors ligne, vous pouvez utiliser les endpoints OAuth2 de Google pour vérifier les tokens. Un exemple de base de L'Explorateur API peut être vu ici .

vous pouvez vérifier un token avec une commande curl curl https://www.googleapis.com/oauth2/v2/tokeninfo?id_token=[id_token] , par exemple:

curl https://www.googleapis.com/oauth2/v2/tokeninfo?id_token=eyJhbGciOiJSUzI1NiIsImtpZCI6IjRlYjczOTg0MzBkNTNjZjZjNGZkMGU5YmM4NzkzZWViZWNkMWY1NWUifQ.eyJpc3MiOiJhY2NvdW50cy5nb29nbGUuY29tIiwic3ViIjoiMTA3Mzc3MTkxNjgxODAyNjY5ODY2IiwiYXpwIjoiMTE2MjY4ODY3NTIuYXBwcy5nb29nbGV1c2VyY29udGVudC5jb20iLCJhdF9oYXNoIjoieGJSVGJOdFJYRnJzcUJHTkRtRTR6USIsImF1ZCI6IjExNjI2ODg2NzUyLmFwcHMuZ29vZ2xldXNlcmNvbnRlbnQuY29tIiwiY19oYXNoIjoiU3JFa25WczRUejhQSWJicExnNXF2QSIsImlhdCI6MTQzNDA0MTY5OSwiZXhwIjoxNDM0MDQ1Mjk5fQ.vqQXCTFfbDqpTYnfFrDD7m68oEuGqd8NWa4s9wstOrrcyuVKUsqFXM_2bH-un_4C8UBvqtQEyzU_-53DxgvhCHQ7S0W-wtQ9YMoJcy7iL1wDjcy1p7aFVoeGCoqxWv1vzlWTUDu_FnD9oIBSAawyDexvRwwGxN8O1D8nzyj__1DQ_ivxIMF-j1W89mc7adK4p5B8ioZA_PI-AGawX2Nm8t58yBMIYrTk0XExr9Pf4eHHRGbrQxcd0ERGHbRMYuG6k-MzdnVNHIScgZ3Cixx9v15PbQ5hXExNvleifG_Wk3Thnz0j6Uacr4fbi-mO93-h8c0r3BSvQ270_JqlpL5q5Q

si vous ne voulez pas (ou ne pouvez pas) changer la source de la bibliothèque google, vous pouvez simplement étendre le GoogleIdTokenVerifier. (vous devez dupliquer une autre méthode qui accède à certaines variables privées - heureusement toutes sont accessibles via get-members). Cela me convient:

GoogleIdTokenVerifier myVerifier = new GoogleIdTokenVerifier(httpTransport, jsonFactory) {

    public boolean superVerify(IdToken idToken) {
              return (getIssuer()== null || idToken.verifyIssuer(getIssuer()))
                  && (getAudience() == null || idToken.verifyAudience(getAudience()))
                  && idToken.verifyTime(getClock().currentTimeMillis(), getAcceptableTimeSkewSeconds());
    }


    @Override
  public boolean verify(GoogleIdToken googleIdToken) throws GeneralSecurityException, IOException {
      // check the payload
      if (!superVerify(googleIdToken)) {
          log.info("superVerify returned false");
        return false;
      }
      // verify signature
      for (PublicKey publicKey : getPublicKeysManager().getPublicKeys()) {
              try {
                      if (googleIdToken.verifySignature(publicKey)) {
                              log.info("verifySignature: success!");
                              return true;
                      }
              } catch (Exception e) {
                      log.info("error verifying!", e);
              }
      }
      return false;
    }

};