پیوند حساب Google با OAuth

حساب‌ها با استفاده از استاندارد صنعتی OAuth 2.0 ضمنی و جریان‌های کد مجوز مرتبط هستند. سرویس شما باید از مجوز سازگار با OAuth 2.0 و نقاط پایانی تبادل رمز پشتیبانی کند.

در جریان ضمنی ، Google نقطه پایانی مجوز شما را در مرورگر کاربر باز می‌کند. پس از ورود موفقیت آمیز به سیستم، یک توکن دسترسی طولانی مدت به Google برمی گردانید. این نشانه دسترسی اکنون در هر درخواست ارسال شده از Google گنجانده شده است.

در جریان کد مجوز ، به دو نقطه پایانی نیاز دارید:

  • نقطه پایانی مجوز ، که رابط کاربری ورود به سیستم را به کاربرانی که قبلاً وارد سیستم نشده‌اند ارائه می‌کند. نقطه پایانی مجوز همچنین یک کد مجوز کوتاه مدت ایجاد می‌کند تا رضایت کاربران را با دسترسی درخواستی ثبت کند.

  • نقطه پایانی تبادل توکن ، که مسئول دو نوع مبادله است:

    1. یک کد مجوز را برای یک نشانه رفرش طولانی مدت و یک رمز دسترسی کوتاه مدت مبادله می کند. این تبادل زمانی اتفاق می‌افتد که کاربر از جریان پیوند حساب عبور کند.
    2. یک نشانه رفرش طولانی مدت را با یک توکن دسترسی کوتاه مدت مبادله می کند. این مبادله زمانی اتفاق می‌افتد که گوگل به یک توکن دسترسی جدید نیاز دارد، زیرا رمز دسترسی منقضی شده است.

یک جریان OAuth 2.0 را انتخاب کنید

اگرچه اجرای جریان ضمنی ساده تر است، اما گوگل توصیه می کند که نشانه های دسترسی صادر شده توسط جریان ضمنی هرگز منقضی نمی شوند. این به این دلیل است که کاربر مجبور است پس از انقضای یک توکن با جریان ضمنی، حساب خود را دوباره پیوند دهد. اگر به دلایل امنیتی نیاز به انقضای توکن دارید، اکیداً توصیه می کنیم که به جای آن از جریان کد مجوز استفاده کنید.

دستورالعمل های طراحی

این بخش الزامات طراحی و توصیه‌هایی را برای صفحه کاربری که برای جریان‌های پیوند OAuth میزبانی می‌کنید، توضیح می‌دهد. پس از فراخوانی آن توسط برنامه Google، پلتفرم شما یک صفحه ورود به سیستم گوگل و صفحه نمایش رضایت حساب را به کاربر نمایش می دهد. کاربر پس از رضایت خود برای پیوند دادن حساب ها به برنامه Google هدایت می شود.

این شکل مراحلی را نشان می دهد که کاربر می تواند حساب Google خود را به سیستم احراز هویت شما پیوند دهد. اولین اسکرین شات پیوندهای ایجاد شده توسط کاربر را از پلتفرم شما نشان می دهد. تصویر دوم ورود کاربر به Google را نشان می دهد، در حالی که تصویر سوم رضایت و تأیید کاربر برای پیوند دادن حساب Google خود با برنامه شما را نشان می دهد. اسکرین شات نهایی یک حساب کاربری با موفقیت در برنامه Google را نشان می دهد.
شکل 1. حسابی که کاربر را به صفحه‌های Google و رضایت پیوند می‌دهد.

الزامات

  1. باید اعلام کنید که حساب کاربر به Google مرتبط خواهد شد، نه یک محصول خاص Google مانند Google Home یا Google Assistant.

توصیه ها

توصیه می کنیم موارد زیر را انجام دهید:

  1. سیاست حفظ حریم خصوصی Google را نمایش دهید. پیوندی به خط مشی رازداری Google در صفحه رضایت اضافه کنید.

  2. داده ها به اشتراک گذاشته شود. از زبان واضح و مختصر استفاده کنید تا به کاربر بگویید گوگل به چه اطلاعاتی از او نیاز دارد و چرا.

  3. فراخوانی برای اقدام را پاک کنید. یک فراخوان برای اقدام واضح در صفحه رضایت خود، مانند «موافق و پیوند» بیان کنید. این به این دلیل است که کاربران باید بدانند چه داده‌هایی را باید با Google به اشتراک بگذارند تا حساب‌های خود را پیوند دهند.

  4. قابلیت لغو. راهی برای کاربران فراهم کنید که در صورت عدم پیوند، به عقب برگردند یا لغو کنند.

  5. فرآیند ورود به سیستم را پاک کنید. مطمئن شوید که کاربران روش‌های واضحی برای ورود به حساب Google خود دارند، مانند فیلدهایی برای نام کاربری و رمز عبور یا ورود با Google .

  6. قابلیت قطع لینک مکانیزمی را برای لغو پیوند به کاربران ارائه دهید، مانند URL به تنظیمات حساب آنها در پلتفرم شما. از طرف دیگر، می‌توانید پیوندی به حساب Google اضافه کنید تا کاربران بتوانند حساب پیوند شده خود را مدیریت کنند.

  7. امکان تغییر حساب کاربری روشی را برای کاربران پیشنهاد کنید تا حساب(های) خود را تغییر دهند. این به ویژه در صورتی مفید است که کاربران تمایل به داشتن چندین حساب داشته باشند.

    • اگر کاربر باید صفحه رضایت را برای تغییر حساب ببندد، یک خطای قابل بازیابی به Google ارسال کنید تا کاربر بتواند با پیوند OAuth و جریان ضمنی به حساب مورد نظر وارد شود.
  8. لوگوی خود را درج کنید. لوگوی شرکت خود را روی صفحه رضایت نمایش دهید. از دستورالعمل های سبک خود برای قرار دادن لوگوی خود استفاده کنید. اگر می‌خواهید نشان‌واره Google را نیز نمایش دهید، نشان‌ها و علائم تجاری را ببینید.

پروژه را ایجاد کنید

برای ایجاد پروژه خود برای استفاده از پیوند حساب:

  1. Go to the Google API Console.
  2. روی ایجاد پروژه کلیک کنید
  3. یک نام را وارد کنید یا پیشنهاد تولید شده را بپذیرید.
  4. سایر قسمتهای باقی مانده را تأیید یا ویرایش کنید.
  5. روی ایجاد کلیک کنید

برای مشاهده شناسه پروژه خود:

  1. Go to the Google API Console.
  2. پروژه خود را در جدول در صفحه فرود بیابید. شناسه پروژه در ستون ID به نظر می رسد.

فرآیند پیوند دادن حساب Google شامل یک صفحه رضایت است که به کاربران برنامه‌ای که درخواست دسترسی به داده‌هایشان را درخواست می‌کند، نوع داده‌هایی که درخواست می‌کنند و شرایطی که اعمال می‌شود، می‌گوید. قبل از ایجاد شناسه سرویس گیرنده Google API، باید صفحه رضایت OAuth خود را پیکربندی کنید.

  1. صفحه نمایش رضایت OAuth کنسول Google APIs را باز کنید.
  2. در صورت درخواست، پروژه ای را که ایجاد کرده اید انتخاب کنید.
  3. در صفحه «صفحه رضایت OAuth»، فرم را پر کنید و روی دکمه «ذخیره» کلیک کنید.

    نام برنامه: نام درخواستی که درخواست رضایت می کند. نام باید دقیقاً منعکس کننده برنامه شما باشد و با نام برنامه ای که کاربران در جاهای دیگر می بینند سازگار باشد. نام برنامه در صفحه رضایت پیوند حساب نشان داده می شود.

    لوگوی برنامه: تصویری در صفحه رضایت که به کاربران کمک می کند برنامه شما را تشخیص دهند. نشان‌واره در صفحه رضایت پیوند حساب و در تنظیمات حساب نشان داده می‌شود

    ایمیل پشتیبانی: برای اینکه کاربران با سؤالاتی در مورد رضایت خود با شما تماس بگیرند.

    Scopes for Google API: Scopes به برنامه شما اجازه می دهد تا به داده های Google خصوصی کاربر شما دسترسی داشته باشد. برای مورد استفاده از پیوند حساب Google، محدوده پیش‌فرض (ایمیل، نمایه، openid) کافی است، نیازی به افزودن دامنه‌های حساس ندارید. به طور کلی بهترین روش این است که دامنه ها را به صورت تدریجی، در زمانی که دسترسی لازم است، درخواست کنید، نه از قبل. بیشتر بدانید .

    دامنه‌های مجاز: برای محافظت از شما و کاربرانتان، Google فقط به برنامه‌هایی که با استفاده از OAuth احراز هویت می‌شوند اجازه استفاده از دامنه‌های مجاز را می‌دهد. پیوندهای برنامه های شما باید در دامنه های مجاز میزبانی شوند. بیشتر بدانید .

    پیوند صفحه اصلی برنامه: صفحه اصلی برنامه شما. باید در یک دامنه مجاز میزبانی شود.

    پیوند خط‌مشی رازداری برنامه: در صفحه رضایت پیوند دادن حساب Google نشان داده می‌شود. باید در یک دامنه مجاز میزبانی شود.

    پیوند شرایط خدمات برنامه (اختیاری): باید در یک دامنه مجاز میزبانی شود.

    شکل 1 . صفحه رضایت پیوند دادن حساب Google برای یک برنامه ساختگی، Tunery

  4. «وضعیت تأیید» را علامت بزنید، اگر برنامه شما نیاز به تأیید دارد، روی دکمه «ارسال برای تأیید» کلیک کنید تا درخواست خود را برای تأیید ارسال کنید. برای جزئیات به الزامات تأیید OAuth مراجعه کنید.

سرور OAuth خود را پیاده سازی کنید

برای حمایت از OAuth تأیید 2.0 جریان ضمنی، خدمات خود را می سازد یک نقطه پایانی مجوز در دسترس توسط HTTPS. این نقطه پایانی مسئول احراز هویت و کسب رضایت از کاربران برای دسترسی به داده ها است. نقطه پایانی مجوز یک رابط کاربری برای ورود به سیستم به کاربرانی که قبلاً وارد سیستم نشده‌اند ارائه می‌کند و رضایت را برای دسترسی درخواستی ثبت می‌کند.

هنگامی که یک برنامه Google باید با یکی از APIهای مجاز سرویس شما تماس بگیرد، Google از این نقطه پایانی برای دریافت مجوز از کاربران شما برای تماس با این APIها از طرف آنها استفاده می کند.

یک جلسه جریان ضمنی OAuth 2.0 که توسط Google آغاز شده است دارای جریان زیر است:

  1. Google نقطه پایانی مجوز شما را در مرورگر کاربر باز می کند. اگر کاربر قبلاً وارد سیستم نشده باشد، به سیستم وارد می‌شود و به Google اجازه می‌دهد تا با API شما به داده‌های خود دسترسی داشته باشد، اگر قبلاً اجازه نداده باشد.
  2. خدمات خود را به یک نشانه دسترسی و بازده آن را به Google ایجاد می کند. برای انجام این کار، مرورگر کاربر را با نشانه دسترسی متصل به درخواست به Google هدایت کنید.
  3. Google API های سرویس شما را فراخوانی می کند و رمز دسترسی را با هر درخواست پیوست می کند. سرویس شما تأیید می‌کند که نشانه دسترسی به Google مجوز دسترسی به API را می‌دهد و سپس تماس API را تکمیل می‌کند.

رسیدگی به درخواست های مجوز

هنگامی که یک برنامه Google باید پیوند حساب را از طریق یک جریان ضمنی OAuth 2.0 انجام دهد، Google کاربر را با درخواستی که شامل پارامترهای زیر است به نقطه پایانی مجوز شما می فرستد:

پارامترهای نقطه پایانی مجوز
client_id شناسه مشتری که به Google اختصاص داده اید.
redirect_uri آدرس اینترنتی که پاسخ این درخواست را به آن ارسال می کنید.
state یک مقدار حسابداری که بدون تغییر در URI تغییر مسیر به Google بازگردانده می شود.
response_type نوع مقداری که در پاسخ باید برگردانده شود. برای OAuth تأیید 2.0 جریان ضمنی، نوع پاسخ همیشه token .
user_locale تنظیمات زبان حساب Google در RFC5646 فرمت مورد استفاده برای بومی سازی محتوای خود را در زبان مورد نظر کاربر است.

برای مثال، اگر نقطه پایانی مجوز خود را در دسترس است https://myservice.example.com/auth ، درخواست ممکن است مانند زیر نگاه کنید:

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token&user_locale=LOCALE

برای اینکه نقطه پایانی مجوز شما به درخواست‌های ورود به سیستم رسیدگی کند، مراحل زیر را انجام دهید:

  1. بررسی client_id و redirect_uri ارزش برای جلوگیری از اعطای دسترسی به برنامه های سرویس گیرنده ناخواسته یا پیکربندی نادرست:

    • تأیید می کند که client_id ID مشتری شما را به گوگل اختصاص داده منطبق است.
    • تأیید کنیم که URL مشخص شده توسط redirect_uri پارامتر به صورت زیر است:
      https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
      https://oauth-redirect-sandbox.googleusercontent.com/r/YOUR_PROJECT_ID
      
  2. بررسی کنید که آیا کاربر به سرویس شما وارد شده است یا خیر. اگر کاربر وارد سیستم نشده است، جریان ورود به سیستم یا ثبت نام سرویس خود را تکمیل کنید.

  3. یک نشانه دسترسی برای Google ایجاد کنید تا از آن برای دسترسی به API شما استفاده کند. نشانه دسترسی می‌تواند هر مقدار رشته‌ای باشد، اما باید به‌طور منحصربه‌فرد نشان‌دهنده کاربر و مشتری باشد که توکن برای آن است و نباید قابل حدس زدن باشد.

  4. ارسال یک پاسخ HTTP که مرورگر کاربر به URL تعیین شده توسط تغییر مسیر redirect_uri پارامتر. تمام پارامترهای زیر را در قطعه URL وارد کنید:

    • access_token ها: نشانه دسترسی شما فقط تولید
    • token_type : رشته bearer
    • state : ارزش اصلاح نشده دولت از درخواست اصلی

    در زیر یک مثال از URL نتیجه است:

    https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING

گوگل OAuth تأیید 2.0 تغییر مسیر کنترل دریافت نشانه دسترسی و تایید می کند که state ارزش تغییر نکرده است. پس از اینکه Google یک رمز دسترسی برای سرویس شما به دست آورد، Google این رمز را به تماس های بعدی به API های سرویس شما متصل می کند.

رسیدگی به درخواست های اطلاعات کاربر

نقطه پایانی userinfo OAuth تأیید 2.0 منابع محافظت شده است که ادعا می کند بازگشت در مورد کاربر مرتبط است. پیاده سازی و میزبانی نقطه پایانی اطلاعات کاربر اختیاری است، به جز موارد استفاده زیر:

پس از اینکه رمز دسترسی با موفقیت از نقطه پایانی رمز شما بازیابی شد، Google درخواستی را به نقطه پایانی اطلاعات کاربری شما ارسال می کند تا اطلاعات نمایه اولیه کاربر پیوند داده شده را بازیابی کند.

سرصفحه های درخواست نقطه پایانی کاربر
Authorization header نشانه دسترسی از نوع Bearer.

برای مثال، اگر نقطه پایانی userinfo خود را در دسترس است https://myservice.example.com/userinfo ، درخواست ممکن است مانند زیر نگاه کنید:

GET /userinfo HTTP/1.1
Host: myservice.example.com
Authorization: Bearer ACCESS_TOKEN

برای اینکه نقطه پایانی اطلاعات کاربری شما به درخواست‌ها رسیدگی کند، مراحل زیر را انجام دهید:

  1. رمز دسترسی را از سربرگ Authorization استخراج کنید و اطلاعات کاربر مرتبط با نشانه دسترسی را برگردانید.
  2. اگر نشانه دسترسی نامعتبر است، بازگشت یک خطا غیر مجاز HTTP 401 با استفاده از WWW-Authenticate پاسخ سربرگ. در زیر یک مثال از یک پاسخ خطا userinfo است:
    HTTP/1.1 401 Unauthorized
    WWW-Authenticate: error="invalid_token",
    error_description="The Access Token expired"
    
    اگر 401، و یا هر پاسخ خطا ناموفق دیگر در طول فرآیند ارتباط بازگشت، خطا خواهد بود غیر قابل بازیابی، رمز بازیابی خواهد شد حذف شده و کاربر باید برای شروع دوباره فرآیند پیوند.
  3. اگر نشانه دسترسی معتبر، بازگشت و HTTP 200 پاسخ با در بر داشت زیر شی JSON در بدن از HTTPS پاسخ است:

    {
    "sub": "USER_UUID",
    "email": "EMAIL_ADDRESS",
    "given_name": "FIRST_NAME",
    "family_name": "LAST_NAME",
    "name": "FULL_NAME",
    "picture": "PROFILE_PICTURE",
    }
    
    اگر userinfo خود را نقطه پایانی بازده واکنش موفقیت HTTP 200، نشانه بازیابی و ادعا در برابر Google کاربر ثبت نام شده حساب.

    پاسخ نقطه پایانی اطلاعات کاربر
    sub یک شناسه منحصر به فرد که کاربر را در سیستم شما شناسایی می کند.
    email آدرس ایمیل کاربر.
    given_name اختیاری: نام کاربر.
    family_name اختیاری: نام خانوادگی از کاربر.
    name اختیاری: نام کامل از کاربر.
    picture اختیاری: تصویر نمایه کاربر.

اعتبار بخشیدن به اجرای شما

شما می توانید اجرای خود را با استفاده از اعتبار OAuth تأیید 2.0 زمین بازی ابزار است.

در ابزار ، مراحل زیر را انجام دهید:

  1. کلیک کنید تنظیمات برای باز کردن OAuth تأیید 2.0 پنجره پیکربندی.
  2. در این زمینه جریان OAuth حفظ، سمت سرویس گیرنده را انتخاب کنید.
  3. در این زمینه از OAuth نقطه انتهایی، سفارشی را انتخاب کنید.
  4. نقطه پایانی OAuth 2.0 و شناسه مشتری که به Google اختصاص داده اید را در قسمت های مربوطه مشخص کنید.
  5. در بخش مرحله 1، انجام هر گونه حوزه گوگل را انتخاب کنید. در عوض ، این قسمت را خالی بگذارید یا یک محدوده معتبر برای سرور خود تایپ کنید (یا اگر از محدوده های OAuth استفاده نمی کنید یک رشته دلخواه). هنگامی که شما انجام می شود، Authorize کلیک کنید رابط های برنامه کاربردی.
  6. در مرحله 2 مرحله 3 و بخش، از طریق جریان OAuth تأیید 2.0 بروید و بررسی کنید که هر مرحله کار می کند به عنوان در نظر گرفته شده.

شما می توانید اجرای خود را با استفاده از اعتبار حساب Google لینک کردن نسخه ی نمایشی ابزار است.

در ابزار ، مراحل زیر را انجام دهید:

  1. با کلیک بر روی ثبت نام در با دکمه گوگل.
  2. حسابی را که می خواهید پیوند دهید انتخاب کنید.
  3. شناسه سرویس را وارد کنید
  4. به صورت اختیاری یک یا چند محدوده که درخواست دسترسی به آنها را دارید وارد کنید.
  5. کلیک کنید شروع نسخه ی نمایشی.
  6. هنگامی که از شما خواسته شد ، تأیید کنید که می توانید درخواست پیوند را تأیید کرده و رد کنید.
  7. تأیید کنید که به پلتفرم خود هدایت شده اید.