如何在 Sign In With Apple 中验证 realUserStatus 值

Question

首次使用 Sign in with Apple 登录时，它会返回一个值realUserStatus作为 iOS 客户端中ASAuthorizationAppleIDCredential的一部分。 该值表示 Apple 是否确信用户是真实的（例如，它是一个脚本）

我的问题是如何在后端认证系统中验证realUserStatus的值？ 因为realUserStatus是返回给iOS客户端的，客户端应该告诉我的服务器是不是bot！ 我怎么知道它是否不仅仅是一个脚本并告诉服务器它是真实的？

编辑（附加说明）：在 Apple 的文档中，它说“您可以跳过您的应用程序通常使用的任何其他欺诈验证检查或 CAPTCHA。” 但是当我们使用 CAPTCHA 时，提供者可以验证响应，这是 Apple 没有做的事情，或者我找不到任何方法来做！

Answer 1

我刚刚在 WWDC 在线实验室与 Apple 工程师打完电话。

因此，从 iOS 14 开始，realUserIndicator 包含在身份令牌中，并且可以与服务器进行验证。

对于 iOS 13，他们没有解决方案。

Answer 2

此标志用作基本的第一次验证，旨在供您的前端使用。 仅当用户首次在您的应用中使用 Apple 登录时，身份验证服务器才会返回此值。

如果要在后端验证用户，则应使用用户身份令牌 (JWT)。 当用户登录时，您可以从 Apple 的服务器获取它（在此处阅读： https : //developer.apple.com/documentation/signinwithapplerestapi/authenticating_users_with_sign_in_with_apple ）。

如果您想在即将到来的会话中验证用户，作为现有用户（用户不必每次都登录），您应该开发自己的系统，用于创建、保存和验证令牌。 另一种选择是使用支持苹果登录的 Firebase 身份验证框架。

Answer 3

如果您将获取的用户信息发送到应用服务器（您的后端），您可以通过身份令牌和休息服务来验证用户。

苹果文档说：在你的应用收到用户信息后，你可以向服务器验证他们关联的身份令牌，以确认令牌没有过期，并确保它没有被篡改或重播到你的应用中。 有关检索身份令牌的信息，请参阅使用 Apple 登录对用户进行身份验证。

https://developer.apple.com/documentation/sign_in_with_apple/sign_in_with_apple_rest_api/verifying_a_user