GCP Pub/Sub 身份验证令牌未出现在请求中

Question

我正在按照开发人员文档设置云发布/订阅服务以在我的后端接收推送订阅消息。

由于某些原因，发送到我的后端的推送订阅请求从未包含“令牌”查询参数，因此我的后端无法验证推送请求是否来自我的应用程序。 开发者文档中的以下代码用于实现验证目的：

  // Verify that the request originates from the application.
  if (req.getParameter("token").compareTo(pubsubVerificationToken) != 0) 
  {
      resp.setStatus(HttpServletResponse.SC_BAD_REQUEST);
      return;
  }

根据文档，我已验证“服务帐户令牌创建者”权限已授予发布/订阅的签名服务，并启用了“推送端点身份验证”选项并为“受众（可选）”分配了一个唯一字符串我在 pub/sub 中的推送订阅中的字段。

我想知道我是否仍然在这里遗漏了什么，或者我误解了令牌观众的工作方式？ 为什么我的后端收到的请求中没有出现“令牌”值？ 任何输入将不胜感激！

Answer 1

正如 John Hanley 所说，令牌在 header 中。 但是，当我查看您的代码时，我不知道您要“比较”什么。 提供的令牌经常更改（因为它的寿命很短），您无法将其与参考令牌进行比较

但是，您可以从令牌中提取声明信息，然后对其进行验证。 这是我用于提取 email 的 Python 代码片段。

    authorization = request.headers['Authorization'][7:]
    b64_profile = authorization.split('.')[1]
    profile = base64.b64decode(b64_profile + '=' * (-len(b64_profile) % 4))
    print(json.loads(profile)['email'])

Answer 2

此处引用的代码片段旨在验证应用程序令牌。 此令牌由应用程序开发人员定义为appengine-web.xml （ 第 7 行）中的环境变量。

正确验证推送请求来源的令牌是不同的。 它由 Cloud Pub/Sub 生成，并以 JWT 的形式包含在推送请求的授权 header 中。 这段代码显示了如何验证 JWT（您也可以查看完整示例）：

      // Verify and decode the JWT.
      GoogleIdToken idToken = verifier.verify(authorization);

希望这有助于消除混乱。 :-)