Profile data are retrieved from ID token without verifying the token

Đang mở

#281 mở ngày 5/1/2023 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó: 5/5
Thời gian dự kiến: Hơn một tuần
Mức phù hợp với người mới: 25/100

Loại issue: Lỗi
Độ rõ ràng: Cần làm rõ
Mức độ hoạt động: Đình trệ
Công nghệ: objective-c
Lĩnh vực: authentication, mobile-dev, security

Hướng nghiên cứu

Bắt đầu tại GoogleSignIn/Sources/GIDSignIn.m, khoảng dòng 803, và so sánh cách xử lý ID-token hiện tại với hướng dẫn backend-auth được liên kết. Xem lại tài liệu tham chiếu PKCE và xác định mô hình toàn vẹn và tin cậy dự kiến cho các client di động và desktop. Công việc chỉ được xem là hoàn tất khi đã thống nhất cách tiếp cận xác minh trước khi có thể xác định phạm vi triển khai.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

bug triage

Describe the bug
Bug location: https://github.com/google/GoogleSignIn-iOS/blob/7932d33686c1dc4d7df7a919aae47361d1cdfda4/GoogleSignIn/Sources/GIDSignIn.m#L803
Here, profile data (email, name, profile picture, etc.) are being retrieved from the ID Token without verifying the integrity of the token. Ideally, an ID Token would be sent over to the backend server, which first verifies the signature of the token before using the profile information from the payload.

But, in this case, since we are directly retrieving the sensitive profile information (from ID Token's payload) to sign in a user, should we not verify the token first? Especially for mobile or desktop apps (which is the case here) where intermediary-free TLS cannot always be guaranteed?

Additionally, we are not using any CSRF protection (e.g, PKCE), so I think it is critical to verify the integrity of the ID Token before accepting the profile information from it.

Ngôn ngữ chính: Objective-C
Star: 751
Fork: 282
Merge trung bình: 4 ngày 20 giờ
Pull request đã merge (30 ngày): 11

Hướng dẫn đóng góp

Mở hướng dẫn đóng góp

Bắt đầu từ đâu

Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
Fork repository và làm thay đổi trên một nhánh.
Mở pull request có tham chiếu số hiệu của issue.

Issue khác của google/GoogleSignIn-iOS

Revoke request uses GET instead of POST Đang mở

enhancement triage

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100

google/GoogleSignIn-iOS#621 · Mở ngày 7/8/2026
Add test coverage for the userinfo profile-fetch fallback Đang mở

enhancement triage

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 76/100

google/GoogleSignIn-iOS#620 · Mở ngày 7/8/2026
Allow only requesting the oauth scopes that an app needs Đang mở

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 68/100

google/GoogleSignIn-iOS#440 · 4 bình luận · 2 reaction · Mở ngày 11/6/2024
Refactor and improve `GIDEMMSupport` parameters and tests Đang mở

enhancement triage

Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 48/100

google/GoogleSignIn-iOS#611 · Mở ngày 31/7/2026
Remove Cocoapods Support Đang mở

Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 45/100

google/GoogleSignIn-iOS#607 · Mở ngày 6/7/2026

Tất cả issue của google/GoogleSignIn-iOS

Issue tương tự

macOS下查找brew::ncurse失败 Đang mở

bug

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 84/100

xmake-io/xmake#7786 · 3 bình luận · Mở ngày 20/9/2026
The function key icon is missing [bug] Đang mở

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100

noah-nuebling/mac-mouse-fix#2054 · Mở ngày 20/9/2026
macOS: every obs-websocket GetStats leaks ~200 autoreleased objects (os_get_free_space has no autorelease pool on the websocket thread) — ~2 MB/min at one poll per second Đang mở

Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 92/100

obsproject/obs-studio#13918 · Mở ngày 19/9/2026
macOS: window_pump drains the queue without running the run loop, so input reaches the app frames late (title-bar drag lags ~70 ms) Đang mở

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 88/100

HigherOrderCO/Bend#842 · 2 bình luận · Mở ngày 19/9/2026

Thêm issue về Objective-C