קישור יעיל יותר עם OAuth וכניסה באמצעות חשבון Google

סקירה כללית

קישור יעיל יותר של כניסה באמצעות חשבון Google שמבוסס על OAuth מוסיפה את 'כניסה באמצעות חשבון Google' בנוסף קישור OAuth כך אפשר ליהנות מחוויית קישור חלקה למשתמשי Google, והיא גם מאפשרת ליצור חשבון, שמאפשר למשתמשים ליצור חשבון חדש בשירות שלכם באמצעות חשבון Google.

כדי לבצע קישור חשבונות באמצעות OAuth וכניסה באמצעות חשבון Google, יש לפעול לפי ההנחיות הכלליות הבאות שלבים:

1. קודם כל, מבקשים מהמשתמש להביע הסכמה לגישה לפרופיל Google שלו.
2. משתמשים במידע שבפרופיל שלהם כדי לבדוק אם חשבון המשתמש קיים.
3. למשתמשים קיימים, צריך לקשר את החשבונות.
4. אם לא מצאתם התאמה למשתמש Google במערכת האימות: לאמת את האסימון המזהה שהתקבל מ-Google. לאחר מכן תוכלו ליצור חשבון משתמש בפרטי הפרופיל הכלולים באסימון המזהה.

איור 1. קישור חשבונות בטלפון של המשתמש באמצעות קישור יעיל

הדרישות בנוגע לייעול הקישורים

• הטמעת התהליך של קישור OAuth בסיסי באינטרנט. השירות צריך לתמוך בתאימות OAuth 2.0 והרשאה והחלפת אסימונים.
• נקודת הקצה להחלפת אסימונים חייבת לתמוך בטענות נכונות (assertions) של JSON Web Token (JWT) ולהטמיע את ה-Intents check, create ו-get.

• רישום מזהה הלקוח של Google API.

הטמעה של שרת OAuth

נקודת הקצה (endpoint) של המרת אסימון חייבת לתמוך באובייקטים מסוג check, create ו-get. בהמשך מוצגים השלבים שהושלמו בתהליך קישור החשבונות, ומצוין מתי מתבצעת קריאה לכוונות השונות:

1. האם למשתמש יש חשבון במערכת האימות שלך? (המשתמש מחליט על ידי בחירת האפשרות 'כן' או 'לא')
   1. כן : האם המשתמש משתמש בכתובת האימייל שמשויכת לחשבון Google שלו כדי להיכנס לפלטפורמה שלכם? (המשתמש מחליט על ידי בחירת האפשרות 'כן' או 'לא')
      1. כן : האם למשתמש יש חשבון תואם במערכת האימות שלך? (נשלחת בקשה לאישור check intent)
         1. כן : קוראים לפונקציה get intent והחשבון יקושר אם ההמרה של Intent תוחזר בהצלחה.
         2. לא : ליצור חשבון חדש? (המשתמש מחליט על ידי בחירת האפשרות 'כן' או 'לא')
            1. כן : קוראים לפונקציה create intent והחשבון יקושר אם תהיה אפשרות ליצור Intent בהצלחה.
            2. לא : תהליך ה-OAuth באינטרנט מופעל, המשתמש מופנה לדפדפן שלו והמשתמש יכול ליצור קישור באמצעות כתובת אימייל אחרת.
      2. לא : תהליך ה-OAuth באינטרנט מופעל, המשתמשים מופנה לדפדפן שלהם והמשתמש יכול ליצור קישור לכתובת אימייל אחרת.
   2. לא : האם למשתמש יש חשבון תואם במערכת האימות שלך? (נשלחת קריאה לאישור check intent)
      1. כן : קוראים לפונקציה get intent והחשבון יקושר אם ההמרה של Intent תוחזר בהצלחה.
      2. לא : המערכת מפעילה את הפונקציה create intent והחשבון מקושר אם האפשרות ליצור Intent מוחזרת בהצלחה.

Check for an existing user account (check intent)

After the user gives consent to access their Google profile, Google sends a request that contains a signed assertion of the Google user's identity. The assertion contains information that includes the user's Google Account ID, name, and email address. The token exchange endpoint configured for your project handles that request.

If the corresponding Google account is already present in your authentication system, your token exchange endpoint responds with account_found=true. If the Google account doesn't match an existing user, your token exchange endpoint returns an HTTP 404 Not Found error with account_found=false.

The request has the following form:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=check&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

Your token exchange endpoint must be able to handle the following parameters:

To respond to the check intent requests, your token exchange endpoint must perform the following steps:

• Validate and decode the JWT assertion.
• Check if the Google account is already present in your authentication system.

אימות ופענוח של טענת הנכוֹנוּת (assertion) של JWT

אפשר לאמת ולפענח את טענת הנכוֹנוּת (assertion) של JWT באמצעות ספריית פענוח קוד JWT לשפה שלכם. כדאי להשתמש המפתחות הציבוריים של Google זמינים ב JWK או של PEM לצורך אימות לחתימה של האסימון.

אחרי הפענוח, טענת הנכוֹנוּת (assertion) של ה-JWT תיראה כמו הדוגמה הבאה:

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

בנוסף לאימות החתימה של האסימון, צריך לוודא מנפיק (השדה iss) הוא https://accounts.google.com, שהקהל (השדה aud) הוא מזהה הלקוח שהוקצה לך, ושתוקף האסימון לא פג (השדה exp).

באמצעות השדות email, email_verified ו-hd אפשר לקבוע אם Google מארחת כתובת אימייל מסוימת, והיא מהימן. במקרים שבהם Google מהימן, כרגע ידוע שהמשתמש הוא הבעלים החוקיים של החשבון ותוכלו לדלג על סיסמה או על שיטות אחרות לאתגרים. אחרת, השיטות האלה יכול לשמש לאימות החשבון לפני הקישור.

מקרים שבהם Google היא מהימן:

• ל-email יש סיומת @gmail.com. זהו חשבון Gmail.
• email_verified מוגדר כ-True ו-hd מוגדר. זהו חשבון G Suite.

משתמשים יכולים להירשם לחשבונות Google בלי להשתמש ב-Gmail או ב-G Suite. מתי email לא מכיל סיומת @gmail.com ו-hd חסר Google מומלץ לאמת סיסמה או סיסמה או שיטות אחרות לאימות למשתמש. email_verified יכול להיות גם נכון כי Google אימתה בהתחלה את משתמש כשחשבון Google נוצר, אבל בעלות על הצד השלישי ייתכן שחשבון האימייל השתנה מאז.

Check if the Google account is already present in your authentication system

Check whether either of the following conditions are true:

• The Google Account ID, found in the assertion's sub field, is in your user database.
• The email address in the assertion matches a user in your user database.

If either condition is true, the user has already signed up. In that case, return a response like the following:

HTTP/1.1 200 Success
Content-Type: application/json;charset=UTF-8

{
  "account_found":"true",
}

If neither the Google Account ID nor the email address specified in the assertion matches a user in your database, the user hasn't signed up yet. In this case, your token exchange endpoint needs to reply with a HTTP 404 error that specifies "account_found": "false", as in the following example:

HTTP/1.1 404 Not found
Content-Type: application/json;charset=UTF-8

{
  "account_found":"false",
}

טיפול בקישור אוטומטי (השגת כוונה)

אחרי שהמשתמש מביע הסכמה לגשת לפרופיל Google שלו, Google שולחת בקשה שמכילה טענת נכוֹנוּת (assertion) חתומה של זהות המשתמש ב-Google. טענת הנכוֹנוּת (assertion) מכילה מידע שכולל את מספר חשבון Google של המשתמש, שם וכתובת אימייל. נקודת הקצה להחלפת אסימונים שהוגדרה עבור בפרויקט הזה יטפל בבקשה הזו.

אם חשבון Google התואם כבר קיים באימות נקודת הקצה (endpoint) של המרת האסימון מחזירה אסימון עבור המשתמש. אם חשבון Google לא תואם למשתמש קיים, שהוא נקודת הקצה של המרת האסימון מחזירה שגיאת linking_error ושדה login_hint אופציונלי.

הבקשה מוצגת בפורמט הבא:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=get&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

נקודת הקצה (endpoint) של המרת האסימונים חייבת להיות מסוגלת לטפל בפרמטרים הבאים:

כדי להגיב לבקשות Intent מסוג get, נקודת הקצה (endpoint) של המרת האסימונים חייבת לבצע את השלבים הבאים:

• לאמת ולפענח את טענת הנכוֹנוּת (assertion) של JWT.
• בודקים אם חשבון Google כבר קיים במערכת האימות.

אימות ופענוח של טענת הנכוֹנוּת (assertion) של JWT

אפשר לאמת ולפענח את טענת הנכוֹנוּת (assertion) של JWT באמצעות ספריית פענוח קוד JWT לשפה שלכם. כדאי להשתמש המפתחות הציבוריים של Google זמינים ב JWK או של PEM לצורך אימות לחתימה של האסימון.

אחרי הפענוח, טענת הנכוֹנוּת (assertion) של ה-JWT תיראה כמו הדוגמה הבאה:

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

בנוסף לאימות החתימה של האסימון, צריך לוודא מנפיק (השדה iss) הוא https://accounts.google.com, שהקהל (השדה aud) הוא מזהה הלקוח שהוקצה לך, ושתוקף האסימון לא פג (השדה exp).

באמצעות השדות email, email_verified ו-hd אפשר לקבוע אם Google מארחת כתובת אימייל מסוימת, והיא מהימן. במקרים שבהם Google מהימן, כרגע ידוע שהמשתמש הוא הבעלים החוקיים של החשבון ותוכלו לדלג על סיסמה או על שיטות אחרות לאתגרים. אחרת, השיטות האלה יכול לשמש לאימות החשבון לפני הקישור.

מקרים שבהם Google היא מהימן:

• ל-email יש סיומת @gmail.com. זהו חשבון Gmail.
• email_verified מוגדר כ-True ו-hd מוגדר. זהו חשבון G Suite.

משתמשים יכולים להירשם לחשבונות Google בלי להשתמש ב-Gmail או ב-G Suite. מתי email לא מכיל סיומת @gmail.com ו-hd חסר Google מומלץ לאמת סיסמה או סיסמה או שיטות אחרות לאימות למשתמש. email_verified יכול להיות גם נכון כי Google אימתה בהתחלה את משתמש כשחשבון Google נוצר, אבל בעלות על הצד השלישי ייתכן שחשבון האימייל השתנה מאז.

בודקים אם חשבון Google כבר קיים במערכת האימות

בודקים אם אחד מהתנאים הבאים מתקיים:

• מספר חשבון Google, שנמצא בשדה sub בטענת הנכונות (assertion) שלך, נמצא אצל המשתמש. מסד נתונים.
• כתובת האימייל בטענת הנכונות (assertion) תואמת למשתמש במסד הנתונים של המשתמשים.

אם נמצא חשבון למשתמש, מנפיקים אסימון גישה ומחזירים את הערכים באובייקט JSON בגוף תגובת ה-HTTPS, כמו בדוגמה הבאה:

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",

  "expires_in": SECONDS_TO_EXPIRATION
}

במקרים מסוימים, קישור חשבונות שמבוסס על אסימון מזהה עלול להיכשל עבור המשתמש. אם מכל סיבה שהיא, נקודת הקצה של המרת אסימונים צריכה להשיב באמצעות HTTP שגיאת 401 שמציינת error=linking_error, כמו בדוגמה הבאה:

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"foo@bar.com"
}

כש-Google מקבלת תגובה לשגיאה 401 עם linking_error, Google שולחת המשתמש בנקודת הקצה של ההרשאה עם login_hint כפרמטר. משתמש משלים את קישור החשבון באמצעות תהליך הקישור של OAuth בדפדפן שלו.

טיפול ביצירת חשבון דרך הכניסה באמצעות חשבון Google (יצירת כוונה)

כשמשתמש צריך ליצור חשבון בשירות שלך, Google שולחת בקשה לנקודת הקצה של המרת האסימון שמציינת את intent=create.

הבקשה מוצגת בפורמט הבא:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

response_type=token&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&scope=SCOPES&intent=create&assertion=JWT&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

נקודת הקצה (endpoint) של המרת האסימונים חייבת להתמודד עם הפרמטרים הבאים:

ה-JWT בתוך הפרמטר assertion מכיל את מספר חשבון Google של המשתמש. שם משתמש ספציפי וכתובת אימייל, שבהם אפשר להשתמש כדי ליצור חשבון חדש לאחר השיפור.

כדי להגיב לבקשות Intent מסוג create, נקודת הקצה (endpoint) של המרת האסימונים חייבת לבצע את השלבים הבאים:

• לאמת ולפענח את טענת הנכוֹנוּת (assertion) של JWT.
• אימות פרטי המשתמש ויצירת חשבון חדש.

אימות ופענוח של טענת הנכוֹנוּת (assertion) של JWT

אפשר לאמת ולפענח את טענת הנכוֹנוּת (assertion) של JWT באמצעות ספריית פענוח קוד JWT לשפה שלכם. כדאי להשתמש המפתחות הציבוריים של Google זמינים ב JWK או של PEM לצורך אימות לחתימה של האסימון.

אחרי הפענוח, טענת הנכוֹנוּת (assertion) של ה-JWT תיראה כמו הדוגמה הבאה:

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

בנוסף לאימות החתימה של האסימון, צריך לוודא מנפיק (השדה iss) הוא https://accounts.google.com, שהקהל (השדה aud) הוא מזהה הלקוח שהוקצה לך, ושתוקף האסימון לא פג (השדה exp).

באמצעות השדות email, email_verified ו-hd אפשר לקבוע אם Google מארחת כתובת אימייל מסוימת, והיא מהימן. במקרים שבהם Google מהימן, כרגע ידוע שהמשתמש הוא הבעלים החוקיים של החשבון ותוכלו לדלג על סיסמה או על שיטות אחרות לאתגרים. אחרת, השיטות האלה יכול לשמש לאימות החשבון לפני הקישור.

מקרים שבהם Google היא מהימן:

• ל-email יש סיומת @gmail.com. זהו חשבון Gmail.
• email_verified מוגדר כ-True ו-hd מוגדר. זהו חשבון G Suite.

משתמשים יכולים להירשם לחשבונות Google בלי להשתמש ב-Gmail או ב-G Suite. מתי email לא מכיל סיומת @gmail.com ו-hd חסר Google מומלץ לאמת סיסמה או סיסמה או שיטות אחרות לאימות למשתמש. email_verified יכול להיות גם נכון כי Google אימתה בהתחלה את משתמש כשחשבון Google נוצר, אבל בעלות על הצד השלישי ייתכן שחשבון האימייל השתנה מאז.

אימות פרטי המשתמש ויצירת חשבון חדש

בודקים אם אחד מהתנאים הבאים מתקיים:

• מספר חשבון Google, שנמצא בשדה sub בטענת הנכונות (assertion) שלך, נמצא אצל המשתמש. מסד נתונים.
• כתובת האימייל בטענת הנכונות (assertion) תואמת למשתמש במסד הנתונים של המשתמשים.

אם אחד מהתנאים מתקיים, מבקשים מהמשתמש לקשר את החשבון הקיים לחשבון Google שלהם. כדי לעשות את זה, צריך להשיב לבקשה עם שגיאת HTTP 401. שמציין את error=linking_error ונותן את כתובת האימייל של המשתמש login_hint. התגובה הבאה היא לדוגמה:

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"foo@bar.com"
}

כש-Google מקבלת תגובה לשגיאה 401 עם linking_error, Google שולחת המשתמש בנקודת הקצה של ההרשאה עם login_hint כפרמטר. משתמש משלים את קישור החשבון באמצעות תהליך הקישור של OAuth בדפדפן שלו.

אם אף אחד מהתנאים לא מתקיים, צריך ליצור חשבון משתמש חדש עם המידע הזה שצוינו ב-JWT. לחשבונות חדשים בדרך כלל לא מוגדרת סיסמה. זו מומלץ להוסיף כניסה באמצעות חשבון Google לפלטפורמות אחרות, כדי לאפשר למשתמשים להתחבר באמצעות Google בפלטפורמות השונות של האפליקציה שלכם. לחלופין, יכול לשלוח למשתמש באימייל קישור שמתחיל את תהליך שחזור הסיסמה כדי לאפשר משתמש להגדיר סיסמה כדי להיכנס לחשבון בפלטפורמות אחרות.

כשהיצירה הושלמה, צריך להנפיק אסימון גישה ומחזירים את הערכים באובייקט JSON הגוף של תגובת ה-HTTPS, כמו בדוגמה הבאה:

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",

  "expires_in": SECONDS_TO_EXPIRATION
}

קבלת מזהה הלקוח של Google API

בתהליך הרישום של קישור החשבון, תצטרכו לספק את מספר הלקוח שלכם ב-Google API.

כדי לקבל את מזהה הלקוח של ה-API באמצעות הפרויקט שיצרתם בתהליך קישור OAuth. כדי לעשות זאת:

1. פותחים את הדף Credentials מסוף Google API.

2. בוחרים פרויקט קיים או יוצרים פרויקט חדש של Google APIs.

   אם לפרויקט שלך אין Client-ID לסוג אפליקציית אינטרנט, לוחצים על יוצרים פרטי כניסה > מזהה לקוח של OAuth כדי ליצור מזהה. חשוב לכלול דומיין האתר שלכם בתיבה מקורות JavaScript מורשים. כשאתם מבצעים בדיקות מקומיות או פיתוח, עליך להוסיף גם http://localhost וגם http://localhost:<port_number> בשדה Authorized JavaScript Sourcess (מקורות JavaScript מורשים).

אימות ההטמעה

אפשר לאמת את ההטמעה באמצעות הכלי OAuth 2.0 Playground.

בכלי, מבצעים את הפעולות הבאות:

1. לוחצים על Configuration (הגדרה) settings כדי לפתוח את חלון ההגדרה של OAuth 2.0.
2. בשדה תהליך OAuth, בוחרים באפשרות צד הלקוח.
3. בשדה נקודות קצה של OAuth, בוחרים באפשרות בהתאמה אישית.
4. מציינים את נקודת הקצה (endpoint) של OAuth 2.0 ואת מזהה הלקוח שהקציתם ל-Google בשדות המתאימים.
5. בקטע שלב 1, לא בוחרים היקפי גישה של Google. במקום זאת, צריך להשאיר את השדה הזה ריק או להקליד היקף תקין לשרת (או מחרוזת שרירותית אם לא משתמשים בהיקפים של OAuth). בסיום, לוחצים על Authorize API.
6. בקטעים שלב 2 ושלב 3, מבצעים את התהליך OAuth 2.0 ומוודאים שכל שלב פועל כמו שצריך.

אפשר לאמת את ההטמעה באמצעות הכלי הדגמה של קישור לחשבון Google.

בכלי, מבצעים את השלבים הבאים:

1. לוחצים על הלחצן כניסה באמצעות חשבון Google.
2. בוחרים את החשבון שרוצים לקשר.
3. מזינים את מזהה השירות.
4. אפשר להזין היקף אחד או יותר שלגביו רוצים לבקש גישה.
5. לוחצים על התחלת הדגמה.
6. כשמופיעה הבקשה, מאשרים את האפשרות להביע הסכמה לדחיית בקשת הקישור.
7. מוודאים שאתם מופנים מחדש לפלטפורמה שלכם.