Liên kết Tài khoản Google với OAuth

Các tài khoản được liên kết bằng cách sử dụng quy trình ngầm ẩn và mã uỷ quyền OAuth 2.0 tiêu chuẩn ngành. Dịch vụ của bạn phải hỗ trợ điểm cuối ủy quyền và tuân thủ giao thức trao đổi mã thông báo dựa trên OAuth 2.0.

Trong luồng ngầm ẩn, Google sẽ mở điểm cuối ủy quyền của bạn trong trình duyệt của người dùng. Sau khi đăng nhập thành công, bạn sẽ trả về một mã truy cập dài hạn cho Google. Mã truy cập này hiện nằm trong mọi yêu cầu do Google gửi.

Trong quy trình mã ủy quyền, bạn cần có hai điểm cuối:

• Điểm cuối ủy quyền, giới thiệu giao diện người dùng đăng nhập cho người dùng chưa đăng nhập. Điểm cuối ủy quyền cũng tạo một mã ủy quyền ngắn hạn để ghi lại người dùng\39; đồng ý với quyền truy cập được yêu cầu.

• Điểm cuối mã trao đổi, chịu trách nhiệm đối với hai loại sàn giao dịch:

  1. Trao đổi mã ủy quyền cho mã làm mới lâu dài và mã truy cập ngắn hạn. Việc trao đổi này xảy ra khi người dùng trải qua luồng liên kết tài khoản.
  2. Trao đổi một mã làm mới lâu dài để lấy mã truy cập ngắn hạn. Việc trao đổi này xảy ra khi Google cần một mã truy cập mới vì mã đó đã hết hạn.

Chọn một quy trình OAuth 2.0

Mặc dù quy trình ngầm ẩn đơn giản hơn để triển khai, nhưng Google khuyến nghị rằng mã thông báo truy cập do luồng ngầm ẩn cấp sẽ không bao giờ hết hạn. Điều này là do người dùng bắt buộc phải liên kết lại tài khoản của họ sau khi mã thông báo hết hạn với luồng ngầm ẩn. Nếu cần hết hạn mã thông báo vì lý do bảo mật, bạn nên sử dụng quy trình mã ủy quyền.

Hướng dẫn thiết kế

Phần này mô tả các yêu cầu về thiết kế và đề xuất cho màn hình người dùng mà bạn lưu trữ cho luồng liên kết OAuth. Sau khi ứng dụng Google gọi điện, nền tảng của bạn sẽ hiển thị màn hình đăng nhập vào trang Google và màn hình đồng ý liên kết tài khoản với người dùng. Người dùng được chuyển hướng lại ứng dụng của Google sau khi đồng ý liên kết tài khoản.

Yêu cầu

1. Bạn phải thông báo rằng tài khoản của người dùng sẽ được liên kết với Google, không phải một sản phẩm cụ thể của Google như Google Home hoặc Trợ lý Google.

Đề xuất

Bạn nên làm như sau:

1. Hiển thị Chính sách quyền riêng tư của Google. Thêm một đường liên kết đến Chính sách quyền riêng tư của Google trên màn hình đồng ý.

2. Dữ liệu cần chia sẻ. Sử dụng ngôn ngữ rõ ràng và súc tích để cho người dùng biết dữ liệu của họ mà Google yêu cầu và lý do.

3. Lời kêu gọi hành động rõ ràng. Nêu rõ lời kêu gọi hành động rõ ràng trên màn hình đồng ý của bạn, chẳng hạn như "Đồng ý và liên kết". Điều này là do người dùng cần phải hiểu được dữ liệu mà họ cần chia sẻ với Google để liên kết tài khoản.

4. Khả năng hủy. Cung cấp cho người dùng một cách để quay lại hoặc hủy, nếu họ chọn không liên kết.

5. Xóa quy trình đăng nhập. Đảm bảo rằng người dùng có phương thức rõ ràng để đăng nhập vào Tài khoản Google của họ, chẳng hạn như các trường cho tên người dùng và mật khẩu hoặc Đăng nhập bằng Google.

6. Khả năng hủy liên kết. Cung cấp một cơ chế để người dùng huỷ liên kết, chẳng hạn như URL đến chế độ cài đặt tài khoản của họ trên nền tảng của bạn. Ngoài ra, bạn có thể bao gồm đường liên kết đến Tài khoản Google để người dùng có thể quản lý tài khoản được liên kết.

7. Khả năng thay đổi tài khoản người dùng. Đề xuất một phương thức để người dùng chuyển(các) tài khoản của họ. Điều này đặc biệt có lợi nếu người dùng có xu hướng có nhiều tài khoản.

   • Nếu người dùng phải đóng màn hình đồng ý để chuyển đổi tài khoản, hãy gửi lỗi có thể khôi phục cho Google để người dùng có thể đăng nhập vào tài khoản mong muốn bằng quy trình liên kết OAuth và quy trình ngầm ẩn.

8. Bao gồm biểu trưng của bạn. Hiển thị biểu tượng công ty trên màn hình xin phép. Sử dụng nguyên tắc chọn kiểu để đặt biểu tượng của bạn. Nếu bạn muốn hiển thị biểu trưng của Google, hãy xem Biểu trưng và nhãn hiệu.

Tạo dự án

Cách tạo dự án để sử dụng tính năng liên kết tài khoản:

1. Go to the Google API Console.
2. Nhấp vào Tạo dự án .
3. Nhập tên hoặc chấp nhận đề xuất được tạo.
4. Xác nhận hoặc chỉnh sửa bất kỳ trường nào còn lại.
5. Nhấp vào Tạo .

Để xem ID dự án của bạn:

1. Go to the Google API Console.
2. Tìm dự án của bạn trong bảng trên trang đích. ID dự án xuất hiện trong cột ID .

Định cấu hình Màn hình đồng ý OAuth

Quy trình Liên kết Tài khoản Google bao gồm một màn hình xin phép để cho người dùng biết ứng dụng đang yêu cầu quyền truy cập vào dữ liệu của họ, loại dữ liệu mà họ đang yêu cầu và các điều khoản áp dụng. Bạn sẽ cần định cấu hình màn hình xin phép bằng OAuth trước khi tạo mã ứng dụng khách Google API.

1. Mở trang màn hình xin phép bằng OAuth trên bảng điều khiển API của Google.
2. Nếu được nhắc, hãy chọn dự án bạn vừa tạo.

3. Trên trang "Màn hình xin phép bằng OAuth", hãy điền vào biểu mẫu rồi nhấp vào nút "Lưu".

   Tên ứng dụng: Tên của ứng dụng đã yêu cầu sự đồng ý. Tên này phải phản ánh chính xác ứng dụng của bạn và nhất quán với tên ứng dụng mà người dùng thấy ở nơi khác. Tên ứng dụng sẽ xuất hiện trên màn hình đồng ý liên kết tài khoản.

   Biểu trưng ứng dụng: Một hình ảnh trên màn hình xin phép sẽ giúp người dùng nhận ra ứng dụng của bạn. Biểu trưng này xuất hiện trên màn hình xin phép liên kết tài khoản và trong phần cài đặt tài khoản

   Email hỗ trợ: Dành cho người dùng liên hệ với bạn khi có thắc mắc về sự đồng ý của họ.

   Phạm vi cho API Google: Phạm vi cho phép ứng dụng của bạn truy cập vào dữ liệu riêng tư của người dùng trên Google. Đối với trường hợp sử dụng tính năng Liên kết Tài khoản Google, phạm vi mặc định (email, hồ sơ, openid) là đủ, bạn không cần thêm bất kỳ phạm vi nhạy cảm nào. Nhìn chung, phương pháp hay nhất là yêu cầu dần phạm vi (yêu cầu truy cập từ trước) tại thời điểm cần thiết. Tìm hiểu thêm.

   Miền được uỷ quyền: Để bảo vệ bạn và người dùng của bạn, Google chỉ cho phép những ứng dụng xác thực bằng OAuth sử dụng Miền được uỷ quyền. Đường liên kết đến ứng dụng của bạn phải được lưu trữ trên Miền được cấp phép. Tìm hiểu thêm.

   Đường liên kết đến Trang chủ của ứng dụng: Trang chủ dành cho ứng dụng. Phải được lưu trữ trên Miền được uỷ quyền.

   Đường liên kết đến Chính sách quyền riêng tư của ứng dụng: Xuất hiện trên màn hình đồng ý liên kết Tài khoản Google. Phải được lưu trữ trên Miền được uỷ quyền.

   Đường liên kết đến Điều khoản dịch vụ của ứng dụng (Không bắt buộc): Phải được lưu trữ trên một Miền được cấp phép.

   

   Hình 1 Màn hình đồng ý liên kết Tài khoản Google cho một Ứng dụng giả định, Tunery

4. Kiểm tra "Trạng thái xác minh", nếu đơn đăng ký của bạn cần được xác minh rồi nhấp vào nút "Gửi để xác minh" để gửi đơn đăng ký xác minh. Tham khảo Các yêu cầu đối với việc xác minh bằng OAuth để biết thông tin chi tiết.

Triển khai máy chủ OAuth

Quá trình triển khai máy chủ OAuth 2.0 của quy trình mã uỷ quyền bao gồm hai điểm cuối mà dịch vụ của bạn cung cấp qua HTTPS. Điểm cuối đầu tiên là điểm cuối uỷ quyền, chịu trách nhiệm tìm hoặc lấy sự đồng ý của người dùng về quyền truy cập dữ liệu. Điểm cuối uỷ quyền đưa ra giao diện người dùng đăng nhập cho những người dùng chưa đăng nhập và ghi lại sự đồng ý đối với quyền truy cập được yêu cầu. Điểm cuối thứ hai là điểm cuối trao đổi mã thông báo, được dùng để lấy các chuỗi đã mã hoá (được gọi là mã thông báo) cho phép người dùng truy cập vào dịch vụ của bạn.

Khi ứng dụng của Google cần gọi một trong các API của dịch vụ, Google sẽ sử dụng các điểm cuối này cùng nhau để yêu cầu người dùng cho phép gọi các API này thay mặt cho công ty.

Phiên quy trình mã uỷ quyền OAuth 2.0 do Google khởi tạo có quy trình sau:

1. Google sẽ mở điểm cuối uỷ quyền của bạn trong trình duyệt của người dùng. Nếu luồng bắt đầu trên một thiết bị chỉ dùng giọng nói cho một Hành động, thì Google sẽ chuyển thực thi trên điện thoại.
2. Người dùng này đăng nhập (nếu chưa đăng nhập) và cấp cho Google quyền truy cập vào dữ liệu của họ bằng API của bạn nếu họ chưa cấp quyền.
3. Dịch vụ của bạn sẽ tạo một mã uỷ quyền rồi trả lại mã này cho Google. Việc cần làm do đó, hãy chuyển hướng trình duyệt của người dùng trở lại Google bằng mã uỷ quyền được đính kèm vào yêu cầu.
4. Google sẽ gửi mã uỷ quyền đến điểm cuối trao đổi mã thông báo của bạn. Điểm cuối này xác minh tính xác thực của mã và trả về mã truy cập cũng như mã làm mới. Mã truy cập là một mã ngắn hạn mà dịch vụ của bạn chấp nhận làm thông tin đăng nhập để truy cập các API. Mã làm mới là mã tồn tại trong một thời gian dài mã thông báo mà Google có thể lưu trữ và sử dụng để thu nạp mã truy cập mới khi hết hạn.
5. Sau khi người dùng hoàn tất quy trình liên kết tài khoản, mỗi yêu cầu do Google gửi có chứa mã truy cập.

Xử lý yêu cầu uỷ quyền

Khi bạn cần liên kết tài khoản bằng mã uỷ quyền OAuth 2.0 quy trình này, Google sẽ chuyển người dùng đến điểm cuối uỷ quyền của bạn kèm theo yêu cầu bao gồm các thông số sau:

Ví dụ: nếu điểm cuối uỷ quyền của bạn có tại https://myservice.example.com/auth, một yêu cầu có thể có dạng như sau:

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&scope=REQUESTED_SCOPES&response_type=code&user_locale=LOCALE

Để điểm cuối uỷ quyền của bạn có thể xử lý các yêu cầu đăng nhập, hãy làm như sau các bước:

1. Xác minh rằng client_id khớp với Mã ứng dụng khách mà bạn đã chỉ định cho Google, và redirect_uri khớp với URL chuyển hướng do Google cung cấp cho dịch vụ của bạn. Đây là những bước kiểm tra quan trọng để ngăn chặn việc cấp truy cập vào các ứng dụng khách ngoài ý muốn hoặc bị định cấu hình sai. Nếu bạn hỗ trợ nhiều Luồng OAuth 2.0, cũng xác nhận rằng response_type là code.
2. Kiểm tra xem người dùng đã đăng nhập vào dịch vụ của bạn chưa. Nếu người dùng chưa đăng nhập, hoàn tất quy trình đăng nhập hoặc đăng ký dịch vụ của bạn.
3. Tạo mã uỷ quyền cho Google dùng để truy cập vào API của bạn. Mã uỷ quyền có thể là bất kỳ giá trị chuỗi nào, nhưng phải là duy nhất đại diện cho người dùng, máy khách và thời gian hết hạn của mã và thông tin đó không phải ai cũng đoán được. Bạn thường cấp phép các mã sẽ hết hạn sau khoảng 10 phút.
4. Xác nhận rằng URL do tham số redirect_uri chỉ định có biểu mẫu sau:

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
     https://oauth-redirect-sandbox.googleusercontent.com/r/YOUR_PROJECT_ID
     

5. Chuyển hướng trình duyệt của người dùng tới URL được chỉ định Tham số redirect_uri. Bao gồm mã uỷ quyền mà bạn vừa được tạo và giá trị trạng thái ban đầu, chưa sửa đổi khi bạn chuyển hướng bằng cách thêm các tham số code và state. Sau đây là một ví dụ về URL kết quả:

   https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID?code=AUTHORIZATION_CODE&state=STATE_STRING

Xử lý các yêu cầu trao đổi mã thông báo

Điểm cuối trao đổi mã thông báo của dịch vụ của bạn chịu trách nhiệm về 2 loại mã thông báo sàn giao dịch:

• Trao đổi mã uỷ quyền để lấy mã truy cập và mã làm mới
• Mã làm mới trao đổi cho mã truy cập

Yêu cầu trao đổi mã thông báo bao gồm các tham số sau:

Trao đổi mã uỷ quyền để lấy mã truy cập và mã làm mới

Sau khi người dùng đăng nhập và điểm cuối uỷ quyền của bạn trả về một thông báo ngắn hạn mã uỷ quyền cho Google, Google sẽ gửi yêu cầu đến sàn giao dịch mã thông báo của bạn điểm cuối để trao đổi mã uỷ quyền lấy mã truy cập và làm mới mã thông báo.

Đối với các yêu cầu này, giá trị của grant_type là authorization_code và giá trị code là giá trị của mã uỷ quyền mà bạn đã cấp trước đó cho Google. Sau đây là ví dụ về yêu cầu trao đổi mã uỷ quyền cho mã truy cập và mã làm mới:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&grant_type=authorization_code&code=AUTHORIZATION_CODE&redirect_uri=REDIRECT_URI

Để đổi mã uỷ quyền lấy mã truy cập và mã làm mới, điểm cuối trao đổi mã thông báo phản hồi các yêu cầu POST bằng cách thực thi lệnh sau các bước:

1. Xác minh rằng client_id xác định nguồn gốc của yêu cầu là nguồn đã được uỷ quyền điểm gốc và client_secret khớp với giá trị dự kiến.
2. Xác minh rằng mã uỷ quyền là hợp lệ và chưa hết hạn, đồng thời client ID được chỉ định trong yêu cầu khớp với ID ứng dụng khách được liên kết với mã uỷ quyền.
3. Xác nhận rằng URL mà tham số redirect_uri chỉ định là giống hệt nhau thành giá trị được sử dụng trong yêu cầu uỷ quyền ban đầu.
4. Nếu bạn không thể xác minh tất cả các tiêu chí trên, hãy trả về một HTTP 400 Lỗi Yêu cầu không hợp lệ, trong đó {"error": "invalid_grant"} là phần nội dung.
5. Nếu không, hãy sử dụng mã nhận dạng người dùng trong mã uỷ quyền để tạo quy trình làm mới và mã truy cập. Các mã thông báo này có thể là giá trị chuỗi bất kỳ, nhưng phải đại diện riêng cho người dùng và khách hàng mà mã thông báo dành cho họ, đồng thời không được dễ đoán. Đối với mã truy cập, hãy ghi lại cả thời gian hết hạn của mã thông báo. Thời gian này thường là một giờ sau khi bạn cấp mã thông báo. Mã làm mới không hết hạn.
6. Trả về đối tượng JSON sau đây trong phần nội dung của phản hồi HTTPS:

   {
   "token_type": "Bearer",
   "access_token": "ACCESS_TOKEN",
   "refresh_token": "REFRESH_TOKEN",
   "expires_in": SECONDS_TO_EXPIRATION
   }

Google lưu trữ mã truy cập và mã làm mới cho người dùng và bản ghi mã truy cập đã hết hạn. Khi mã truy cập hết hạn, Google sẽ sử dụng mã làm mới để nhận mã truy cập mới từ điểm cuối trao đổi mã thông báo.

Mã làm mới trao đổi cho mã truy cập

Khi mã truy cập hết hạn, Google sẽ gửi yêu cầu đến sàn giao dịch mã thông báo của bạn để trao đổi mã làm mới lấy mã truy cập mới.

Đối với các yêu cầu này, giá trị của grant_type là refresh_token và giá trị refresh_token là giá trị của mã làm mới mà bạn đã cấp trước đó Google. Sau đây là ví dụ về yêu cầu trao đổi mã làm mới đối với mã truy cập:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&grant_type=refresh_token&refresh_token=REFRESH_TOKEN

Để đổi mã làm mới lấy mã truy cập, điểm cuối trao đổi mã thông báo của bạn phản hồi các yêu cầu POST bằng cách thực thi các bước sau:

1. Xác minh rằng client_id xác định nguồn gốc của yêu cầu là Google, và client_secret khớp với giá trị dự kiến.
2. Xác minh rằng mã làm mới là hợp lệ và mã ứng dụng khách được chỉ định trong yêu cầu khớp với mã ứng dụng khách liên kết với mã làm mới.
3. Nếu bạn không thể xác minh tất cả các tiêu chí trên, hãy trả về HTTP 400 Lỗi Yêu cầu không hợp lệ, trong đó phần nội dung là {"error": "invalid_grant"}.
4. Nếu không, hãy sử dụng mã nhận dạng người dùng từ mã làm mới để tạo quyền truy cập mã thông báo. Các mã thông báo này có thể là bất kỳ giá trị chuỗi nào, nhưng phải là duy nhất đại diện cho người dùng và khách hàng mà mã thông báo dành cho họ, đồng thời không được có thể đoán được. Đối với mã truy cập, hãy ghi lại thời gian hết hạn của mã thông báo, thường là một giờ sau khi bạn phát hành mã thông báo.
5. Trả về đối tượng JSON sau trong phần nội dung của HTTPS trả lời:

   {
   "token_type": "Người mang",
   "access_token": "ACCESS_TOKEN",
   "expiry_in" (hết hạn): SECONDS_TO_EXPIRATION
   }

Xử lý các yêu cầu thông tin người dùng

Điểm cuối userinfo là một tài nguyên được bảo vệ bằng OAuth 2.0. Tài nguyên này trả về các thông báo xác nhận quyền sở hữu về người dùng được liên kết. Việc triển khai và lưu trữ điểm cuối userinfo là không bắt buộc, ngoại trừ các trường hợp sử dụng sau:

• Đăng nhập vào tài khoản được liên kết bằng tính năng Google One Chạm.
• Gói thuê bao dễ dàng trên Android TV.

Sau khi đã truy xuất thành công mã truy cập từ điểm cuối của mã thông báo, Google sẽ gửi yêu cầu đến điểm cuối userinfo của bạn để truy xuất thông tin hồ sơ cơ bản về người dùng được liên kết.

Ví dụ: nếu điểm cuối userinfo của bạn có sẵn tại https://myservice.example.com/userinfo, một yêu cầu có thể có dạng như sau:

GET /userinfo HTTP/1.1
Host: myservice.example.com
Authorization: Bearer ACCESS_TOKEN

Để điểm cuối userinfo xử lý các yêu cầu, hãy làm theo các bước sau:

1. Trích xuất mã truy cập từ tiêu đề Uỷ quyền và trả về thông tin cho người dùng được liên kết với mã truy cập.
2. Nếu mã truy cập không hợp lệ, hãy trả về lỗi HTTP 401 unauthorized (Không được phép sử dụng tiêu đề phản hồi WWW-Authenticate). Dưới đây là ví dụ về phản hồi khi xảy ra lỗi thông tin người dùng:

   HTTP/1.1 401 Unauthorized
   WWW-Authenticate: error="invalid_token",
   error_description="The Access Token expired"
   

   Nếu phản hồi 401 Trái phép hoặc bất kỳ lỗi không thành công nào khác được trả về trong quá trình liên kết, thì lỗi này sẽ không khôi phục được, mã thông báo đã truy xuất sẽ bị loại bỏ và người dùng sẽ phải bắt đầu lại quy trình liên kết.

3. Nếu mã truy cập hợp lệ, hãy trả về và phản hồi HTTP 200 kèm theo đối tượng JSON sau trong phần nội dung của HTTPS phản hồi:

   {
   "sub": "USER_UUID",
   "email": "EMAIL_ADDRESS",
   "given_name": "FIRST_NAME",
   "family_name": "LAST_NAME",
   "name": "FULL_NAME",
   "picture": "PROFILE_PICTURE",
   }
   

   Nếu điểm cuối userinfo của bạn trả về phản hồi thành công HTTP 200, thì mã thông báo và các thông báo xác nhận quyền sở hữu đã truy xuất sẽ được đăng ký vào Tài khoản Google của người dùng.

   phản hồi của thiết bị đầu cuối userinfo
   sub	Mã nhận dạng duy nhất giúp nhận dạng người dùng trong hệ thống của bạn.
   email	Địa chỉ email của người dùng.
   given_name	Không bắt buộc: Tên của người dùng.
   family_name	Không bắt buộc: Họ của người dùng.
   name	Không bắt buộc: Tên đầy đủ của người dùng.
   picture	Không bắt buộc: Ảnh hồ sơ của người dùng.

Xác thực quá trình triển khai

Bạn có thể xác nhận thực hiện của bạn bằng cách sử dụng các sân chơi OAuth 2.0 công cụ.

Trong công cụ, hãy thực hiện các bước sau:

1. Nhấp vào Cấu hình settings để mở cửa sổ OAuth 2.0 Configuration.
2. Trong lĩnh vực dòng chảy OAuth, chọn Client-side.
3. Trong lĩnh vực OAuth thiết bị đầu cuối, chọn Custom.
4. Chỉ định điểm cuối OAuth 2.0 của bạn và ID khách hàng mà bạn đã chỉ định cho Google trong các trường tương ứng.
5. Trong phần Bước 1, không chọn bất kỳ phạm vi của Google. Thay vào đó, hãy để trống trường này hoặc nhập phạm vi hợp lệ cho máy chủ của bạn (hoặc một chuỗi tùy ý nếu bạn không sử dụng phạm vi OAuth). Khi bạn đã hoàn tất, nhấn Authorize API.
6. Trong các phần Bước 2 và Bước 3, đi qua các dòng chảy OAuth 2.0 và xác minh rằng mỗi bước hoạt động như dự kiến.

Bạn có thể xác nhận thực hiện của bạn bằng cách sử dụng các tài khoản Google Liên kết Demo công cụ.

Trong công cụ, hãy thực hiện các bước sau:

1. Nhấp vào Sign-in với nút Google.
2. Chọn tài khoản bạn muốn liên kết.
3. Nhập ID dịch vụ.
4. Tùy ý nhập một hoặc nhiều phạm vi mà bạn sẽ yêu cầu quyền truy cập.
5. Nhấp vào Bắt đầu Demo.
6. Khi được nhắc, hãy xác nhận rằng bạn có thể đồng ý và từ chối yêu cầu liên kết.
7. Xác nhận rằng bạn được chuyển hướng đến nền tảng của mình.