Nexttag.Auth.Identity.Google 1.1.2

Nexttag.Auth.Identity.Google

Login social com Google para ASP.NET Identity, em cima de Nexttag.Auth.Identity. Valida o id_token que o cliente (web/mobile) obtém no Google Sign-In, acha-ou-cria o usuário no Identity e emite um JWT local. Sem Firebase.

Instalação

dotnet add package Nexttag.Auth.Identity.Google

Configuração

// Program.cs — depois de configurar o Identity da Nexttag
builder.Services.AddNexttagIdentity<AppDbContext, AppUser>(builder.Configuration);
builder.Services.AddNexttagGoogleLogin<AppUser>(builder.Configuration);

// appsettings.json — informe os client IDs do OAuth do Google (web/android/ios)
"Google": {
  "ClientId": "xxxxx.apps.googleusercontent.com",
  "ClientIds": [
    "web.apps.googleusercontent.com",
    "android.apps.googleusercontent.com"
  ]
}

Todos os client IDs informados são aceitos como audiência (aud) válida do token.

Segurança (obrigatório): configurar ao menos um Client ID é obrigatório. Sem ClientId/ClientIds, a validação falha fechado (retorna token inválido) — nunca aceita audiência arbitrária, o que permitiria account takeover com um id_token de outro app OAuth do Google.

Além disso, apenas contas com e-mail verificado pelo Google (email_verified) são aceitas para login/vínculo/criação — e-mail não verificado é rejeitado (401).

Uso no endpoint

[HttpPost("api/auth/google")]
public async Task<IActionResult> Google(
    [FromBody] GoogleLoginRequest body,
    IdentityGoogleAuthService<AppUser> auth)
{
    var r = await auth.LoginAsync(body.IdToken);
    if (!r.IsSuccess)
        return Problem(detail: r.Error!.Message, statusCode: r.Error.StatusCode);

    return Ok(new { token = r.Value!.Token, novoUsuario = r.Value.NovoUsuario });
}

public record GoogleLoginRequest(string IdToken);

Como funciona

1. O cliente faz o Google Sign-In nativo e obtém um id_token.
2. Envia o id_token para a API.
3. IdentityGoogleAuthService valida o token no Google (assinatura + audiência via IGoogleTokenValidator), então:
   • se já houver login externo Google vinculado → faz login;
   • se houver conta com o mesmo e-mail → vincula o Google a ela;
   • senão → cria o usuário (EmailConfirmed = true, sem senha) e vincula o login.
4. Emite um JWT local via IJwtService (mesmo token do login por e-mail/senha).

O vínculo do provedor usa a tabela padrão do Identity (AspNetUserLogins) — nenhum campo extra é necessário no usuário. IdentityLoginResult.NovoUsuario indica primeiro acesso (útil para onboarding).

Testabilidade

A validação do token fica atrás de IGoogleTokenValidator (implementação padrão: GoogleTokenValidator, usando Google.Apis.Auth). Em testes, injete um mock do validador para exercitar o fluxo acha-ou-cria sem chamar o Google.