苹果授权登录,后端校验(Sign in with Apple)

置顶景天^-^

已于 2022-10-11 14:40:24 修改

阅读量2.9k

点赞数 7

分类专栏：登录认证文章标签：后端 java spring boot 经验分享

于 2021-12-30 15:59:12 首次发布

本文链接：https://blog.csdn.net/weixin_43529116/article/details/122237041

版权

登录认证专栏收录该内容

2 篇文章 0 订阅

订阅专栏

接入苹果第三方登录流程记录

在网上找到一个中文版的流程图:
在这里插入图片描述

我的思路

app端传入identityToken,解析获取header和paylod

identityToken 是一个 Json Web Token (JWT)。它由点号 (“.”) 分割为三部分：header、payload、signature。前两部分是两个 Json 字符串经过 base64Url 编码的结果。第三部分是前面二者加密后再做 base64Url 编码得到的。

获取苹果的公钥,链接: https://appleid.apple.com/auth/keys,会得到有个jsonArray数组,如图:
使用第一步从header中解析出来的"kid"去匹配苹果公钥
通过苹果公钥中的"n"和"e"生成解析identityToken的签名秘钥
解析成功说明鉴权成功,返回解析出来的苹果唯一id; 反之则不然

此处我在解析时,从解析出来的结果中的"aud:bundle id苹果打包名"做了一次匹配,也可以不这么做

代码实例

我将鉴权方法做成一个工具类,可以直接复制代码调用,此处代码需要maven依赖 jjwt 和 hutool工具类 ,不知道的可以到网上去找下依赖
下面代码中出现的TKServiceException类是自定义的异常类,可以替换


import cn.hutool.core.codec.Base64Decoder;
import cn.hutool.crypto.SecureUtil;
import cn.hutool.http.HttpUtil;
import com.alibaba.fastjson.JSONArray;
import com.alibaba.fastjson.JSONObject;
import com.xiyakj.xiyakj.common.core.exception.TKServiceException;
import io.jsonwebtoken.*;
import lombok.extern.slf4j.Slf4j;
import org.apache.commons.codec.binary.Base64;
import org.apache.commons.lang.StringUtils;

import java.math.BigInteger;
import java.security.PublicKey;
import java.security.spec.RSAPublicKeySpec;

/**
 * 苹果授权工具类
 *
 * @author xiaowx
 * @date 2021/12/30 11:57
 **/
@Slf4j
public class AppleAuthUtil {

    /**
     * 获取苹果公钥url
     */
    private static final String APPLE_AUTH_KEYS_URL = "https://appleid.apple.com/auth/keys";


    public static String parserIdentityToken(String identityToken) {

        //获取token的header和payload,需要根据header中的kid去匹配公钥
        String[] arr = identityToken.split("\\.");
        String header = new String(Base64.decodeBase64(arr[0]));
        String payload = new String(Base64.decodeBase64(arr[1]));
        JSONObject headerJson = JSONObject.parseObject(header);
        JSONObject payloadJson = JSONObject.parseObject(payload);

        //获取苹果公钥
        JSONObject keyJson = getAppleAuthKey(headerJson.getString("kid"));
        if (null == keyJson) {
            throw new TKServiceException("苹果授权异常");
        }

        //根据苹果返回的公钥生成jwt解析的秘钥
        PublicKey jwtSigningKey = getJwtSigningKey(keyJson);

        //通过秘钥解析jwt,返回苹果的唯一id
        String appleOpenId = verify(jwtSigningKey, identityToken, payloadJson.getString("aud"));
        if (StringUtils.isBlank(appleOpenId)) {
            throw new TKServiceException("苹果授权解析异常");
        }
        return appleOpenId;
    }


    /**
     * 通过从header中获取的kid匹配公钥
     *
     * @param kid: jwt-header中解析
     * @return
     */
    private static JSONObject getAppleAuthKey(String kid) {
        String result = HttpUtil.get(APPLE_AUTH_KEYS_URL);
        JSONObject resultJson = JSONObject.parseObject(result);
        JSONArray keys = resultJson.getJSONArray("keys");
        for (Object key : keys) {
            JSONObject keyJson = JSONObject.parseObject(key.toString());
            if (keyJson.getString("kid").equals(kid)) {
                return keyJson;
            }
        }
        return null;
    }

    /**
     * 获取identityToken签名秘钥
     *
     * @param keyJson
     * @return
     */
    private static PublicKey getJwtSigningKey(JSONObject keyJson) {
        byte[] nDecode = Base64Decoder.decode(keyJson.getString("n").getBytes());
        byte[] eDecode = Base64Decoder.decode(keyJson.getString("e").getBytes());
        //通过RSAPublicKeySpec构造器生成对象
        RSAPublicKeySpec rsaPublicKeySpec = new RSAPublicKeySpec(new BigInteger(1, nDecode), new BigInteger(1, eDecode));
        //传入hutool工具类中生成publicKey
        return SecureUtil.generatePublicKey("RSA", rsaPublicKeySpec);
    }


    /**
     * 解析identityToken并返回苹果唯一id
     *
     * @param key:      解析秘钥
     * @param jwt:      identityToken
     * @param audience: 我此处传的是解析出来的包名
     * @return
     */
    private static String verify(PublicKey key, String jwt, String audience) {
        JwtParser jwtParser = Jwts.parser().setSigningKey(key);
        try {
            Jws<Claims> claim = jwtParser.parseClaimsJws(jwt);
            if (claim != null && claim.getBody().getAudience().equals(audience)) {
                return claim.getBody().getSubject();
            }
            return null;
        } catch (Exception e) {
            log.error("apple identityToken expired", e);
            return null;
        }
    }


}