Profile data are retrieved from ID token without verifying the token

未关闭

#281 创建于 2023年1月5日 0 条评论 0 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 5/5
预计耗时: 一周以上
新手友好度: 25/100

Issue 类型: 缺陷
描述清晰度: 需要澄清
活跃度: 停滞
技术栈: objective-c
领域: authentication, mobile-dev, security

调研方向

从 GoogleSignIn/Sources/GIDSignIn.m 约第 803 行开始，将当前的 ID-token 处理方式与链接的 backend-auth 指南进行比较。查看 PKCE 参考资料，并确定移动端和桌面端客户端预期的完整性与信任模型。只有在确定实现范围之前就验证方式达成一致，才能算完成。

由索引模型根据 Issue 内容生成。

描述

bug triage

Describe the bug
Bug location: https://github.com/google/GoogleSignIn-iOS/blob/7932d33686c1dc4d7df7a919aae47361d1cdfda4/GoogleSignIn/Sources/GIDSignIn.m#L803
Here, profile data (email, name, profile picture, etc.) are being retrieved from the ID Token without verifying the integrity of the token. Ideally, an ID Token would be sent over to the backend server, which first verifies the signature of the token before using the profile information from the payload.

But, in this case, since we are directly retrieving the sensitive profile information (from ID Token's payload) to sign in a user, should we not verify the token first? Especially for mobile or desktop apps (which is the case here) where intermediary-free TLS cannot always be guaranteed?

Additionally, we are not using any CSRF protection (e.g, PKCE), so I think it is critical to verify the integrity of the ID Token before accepting the profile information from it.

主要语言: Objective-C
星标: 751
派生: 282
平均合并: 4 天 20 小时
30 天内合并 PR: 11

贡献指南

打开贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

google/GoogleSignIn-iOS 的其他 Issue

Revoke request uses GET instead of POST 未关闭

enhancement triage

难度 2/5 1-3 小时新手友好度 72/100

google/GoogleSignIn-iOS#621 · 2026年8月7日创建
Add test coverage for the userinfo profile-fetch fallback 未关闭

enhancement triage

难度 2/5 1-3 小时新手友好度 76/100

google/GoogleSignIn-iOS#620 · 2026年8月7日创建
Allow only requesting the oauth scopes that an app needs 未关闭

难度 2/5 1-3 小时新手友好度 68/100

google/GoogleSignIn-iOS#440 · 4 条评论 · 2 个 reaction · 2024年6月11日创建
Refactor and improve `GIDEMMSupport` parameters and tests 未关闭

enhancement triage

难度 4/5 3-5 天新手友好度 48/100

google/GoogleSignIn-iOS#611 · 2026年7月31日创建
Remove Cocoapods Support 未关闭

难度 4/5 3-5 天新手友好度 45/100

google/GoogleSignIn-iOS#607 · 2026年7月6日创建

查看 google/GoogleSignIn-iOS 的全部 Issue

相似的 Issue

Make "Details & Options" clickable 未关闭

难度 2/5 1-3 小时新手友好度 75/100

objective-see/LuLu#925 · 2026年9月23日创建
macOS下查找brew::ncurse失败未关闭

bug

难度 2/5 1-3 小时新手友好度 84/100

xmake-io/xmake#7786 · 3 条评论 · 2026年9月20日创建
The function key icon is missing [bug] 未关闭

难度 2/5 1-3 小时新手友好度 72/100

noah-nuebling/mac-mouse-fix#2054 · 2026年9月20日创建
macOS: every obs-websocket GetStats leaks ~200 autoreleased objects (os_get_free_space has no autorelease pool on the websocket thread) — ~2 MB/min at one poll per second 未关闭

难度 1/5 1 小时以内新手友好度 92/100

obsproject/obs-studio#13918 · 2026年9月19日创建
macOS: window_pump drains the queue without running the run loop, so input reaches the app frames late (title-bar drag lags ~70 ms) 未关闭

难度 2/5 1-3 小时新手友好度 88/100

HigherOrderCO/Bend#842 · 2 条评论 · 2026年9月19日创建

更多 Objective-C Issue