google-cloud-platform - Google Cloud Run 在授权 header 中屏蔽 Bearer token

Question

Cloud Run 的 Google 文档指出您可以“从授权 header 中提取 token ”( docs here ) 以验证它并获取有关请求用户的更多信息。

但是，在处理请求时读取 Authorization header 时，似乎部分 token 在通过 Google 的身份验证前端后已被编辑。例如

Bearer eyJhbGciOiJSUzI1NiIsImtpZCI6ImY2ZjgwZjM3ZjIxYzIz.SIGNATURE_REMOVED_BY_GOOGLE

这是 Cloud Run 中的错误，还是我们需要做一些不同的事情来获取完整的 Bearer token ？

Answer 1

以下是在 Cloud Run 中看到的授权 header 和 SIGNATURE_REMOVED_BY_GOOGLE 的详细信息:

1. 如果启用 allUsers，则 JWS 签名会通过并且不会被替换。
2. 如果 allUsers 未启用且 OIDC token 来自 Google 帐户 (gmail)，则签名将被替换。
3. 如果未启用 allUsers 并且 OIDC token 来自服务帐户，则不会替换签名。

[2021 年 3 月 8 日更新]

Google 编辑身份 token 签名的原因是为了防止重复使用身份 token 。有效的身份 token 将允许该服务使用另一个存在安全风险的服务来模拟用户/帐户。