谁在为我的 ASP.NET Core Web API 应用程序使用 Google OpenID Connect 身份验证时生成 JWT？

Question

我正在为移动客户端构建一个 ASP.NET Core 6 Web API 应用程序（以及以后的 SPA JS 应用程序）。 该应用程序应具有使用 Google 登录的选项。 我还想添加我自己的应用程序的自定义注册和登录选项，这些选项也将基于 JWT 身份验证而不是 cookie。

我了解对于我的自定义登录流程，我的应用程序将生成 JWT 并将其发送给客户端。 但我对用户使用其 Google 帐户登录时的工作原理几乎没有疑问：

1. 当用户使用其 Google 帐户登录时，谁负责生成 JWT？ 这是谷歌或我的应用程序的责任吗？ 我不希望 Google 在 cookie 中将 JWT 返回给客户端。
2. 然后，当客户端通过 Google 身份验证并向我的应用程序发送请求时，我的应用程序如何验证它获得的 JWT 令牌？
3. 当用户第一次使用 Google 登录时，我是否应该通过从 JWT 中获取声明值（电子邮件）来在我的应用程序（我正在使用身份框架）中自动注册该用户？ 这里的一般做法是什么？

我试图理解这些过程和流程，因此不需要示例代码（但我非常欢迎）。

Answer 1

广告 1。 通常，在较大的系统中，您会有一个授权服务器 (AS) 来处理用户身份验证和令牌颁发。 您的客户将只联系 AS，而 AS 将能够为用户提供不同的 forms 身份验证：例如，通过您网站的密码或通过 Google。 AS 是向您的客户发行令牌的单点。 无论使用何种身份验证方法，它都可以颁发令牌。 因此，无论用户是通过 Google 身份验证还是使用密码进行身份验证，客户端仍将获得相同的访问令牌。

广告 2。 当 AS 向您的客户端颁发令牌时，验证该令牌就没有任何问题。 客户端不关心用户是否通过 Google 身份验证，在这种情况下无关紧要。

如果您决定跳过使用 AS 并让客户端直接从 Google 接收令牌，那么您仍然可以验证它们。 ID 令牌是 JWT，可以使用 Google 提供的验证密钥通过 JWT 库轻松验证。 Google 返回的访问令牌是不透明的令牌（如果我没记错的话），您需要检查 Google 是否公开端点以验证它们。

广告 3。 这是一般的做法。 当用户向 Google 进行身份验证时，您发现您的系统中没有该用户的数据，然后您从 Google 的 ID 令牌中获取信息并在您的系统中创建一个用户条目。