GolangでGoogleのOpenIDConnectを使った実装をしてみた

func AuthGoogleSignUpHandler(w http.ResponseWriter, r *http.Request) {
   client := oidc.NewGoogleOidcClient()

   // CSRFを防ぐためにstateを保存し、後の処理でstateが一致するか確認する
   state, err := oidc.RandomState()
   if err != nil {
   	fmt.Println(err)
   	return
   }
   cookie := http.Cookie{Name: "state", Value: state}
   http.SetCookie(w, &cookie)

   // ユーザーをGoogleのログイン画面にリダイレクト
   redirectUrl := client.AuthUrl(
   	"code",
   	[]string{"openid", "email", "profile"},
   	fmt.Sprintf(
   		"%s://%s:%s/auth/google/sign_up/callback",
   		os.Getenv("SERVER_PROTO"),
   		os.Getenv("SERVER_HOST"),
   		os.Getenv("SERVER_PORT"),
   	),
   	state,
   )
   http.Redirect(w, r, redirectUrl, 301)
}

	cookieState, err := r.Cookie("state")
	if err != nil {
		fmt.Printf("Cookie get error %s", err)
		return
	}
	queryState := r.URL.Query().Get("state")
	if queryState != cookieState.Value {
		fmt.Printf("state does not match %s : %s", queryState, cookieState.Value)
		return
	}

	// 認可コードを取り出しトークンエンドポイントに投げることでid_tokenを取得できる
	client := oidc.NewGoogleOidcClient()
	tokenResp, err := client.PostTokenEndpoint(
		r.URL.Query().Get("code"),
		fmt.Sprintf(
			"%s://%s:%s/auth/google/sign_up/callback",
			os.Getenv("SERVER_PROTO"),
			os.Getenv("SERVER_HOST"),
			os.Getenv("SERVER_PORT"),
		),
		"authorization_code",
	)
	if err != nil {
		fmt.Println(err)
		return
	}

// tokenResponse はトークンエンドポイントのレスポンスをunmarshalするため構造体
type tokenResponse struct {
	AccessToken string `json:"access_token"`
	ExpiresIn   int    `json:"expires_in"`
	Scope       string `json:"scope"`
	TokenType   string `json:"token_type"`
	IdToken     string `json:"id_token"`
}

	// JWKsエンドポイントから公開鍵を取得しid_token(JWT)の署名を検証。改竄されていないことを確認する
	idToken, err := oidc.NewIdToken(tokenResp.IdToken)
	if err != nil {
		fmt.Println(err)
		return
	}
	if err := idToken.ValidateSignature(client.JwksEndpoint); err != nil {
		fmt.Println(err)
		return
	}

type idToken struct {
	rawToken     string
	rawHeader    string
	RawPayload   string
	rawSignature string
	header       header
}

type header struct {
	Alg string `json:"alg"`
	Kid string `json:"kid"`
	Typ string `json:"typ"`
}

func (token idToken) ValidateSignature(jwksUrl string) error {
	resp, err := http.Get(jwksUrl)
	if err != nil {
		return err
	}
	
	// ...

	var key jwk
	var isFound bool
	for _, v := range keys.Keys {
		if token.header.Kid == v.Kid {
			key = v
			isFound = true
		}
	}
	if !isFound {
		return errors.New("JWK not found")
	}

        // ...

	headerAndPayload := fmt.Sprintf("%s.%s", token.rawHeader, token.RawPayload)
	hasher := sha256.New()
	hasher.Write([]byte(headerAndPayload))

	decSignature, err := base64.RawURLEncoding.DecodeString(token.rawSignature)
	if err != nil {
		return err
	}

	if err := rsa.VerifyPKCS1v15(pubKey, crypto.SHA256, hasher.Sum(nil), decSignature); err != nil {
		return err
	}

	return nil
}