Quy trình liên kết tinh giản bằng OAuth và tính năng Đăng nhập bằng Google

Tổng quan

Liên kết đơn giản dựa trên OAuth để Đăng nhập bằng Google bổ sung tính năng Đăng nhập bằng Google vào quy trình liên kết dựa trên OAuth. Tính năng này mang đến trải nghiệm liên kết liền mạch cho người dùng Google, đồng thời cho phép tạo tài khoản để người dùng có thể tạo tài khoản mới trên dịch vụ của bạn bằng Tài khoản Google của họ.

Để liên kết tài khoản bằng OAuth và Đăng nhập bằng Google, hãy làm theo các bước chung sau:

1. Trước tiên, hãy yêu cầu người dùng đồng ý cho phép truy cập vào Hồ sơ trên Google của họ.
2. Sử dụng thông tin trong hồ sơ của họ để kiểm tra xem tài khoản người dùng có tồn tại hay không.
3. Đối với người dùng hiện tại, hãy liên kết các tài khoản.
4. Nếu không tìm thấy người dùng Google phù hợp trong hệ thống xác thực của bạn, hãy xác thực mã thông báo nhận dạng nhận được từ Google. Sau đó, bạn có thể tạo người dùng dựa trên thông tin hồ sơ có trong mã thông báo nhận dạng.

Hình 1. Liên kết tài khoản trên điện thoại của người dùng bằng tính năng Liên kết đơn giản

Yêu cầu đối với tính năng Liên kết đơn giản

• Triển khai quy trình liên kết OAuth cơ bản trên web. Dịch vụ của bạn phải hỗ trợ các điểm cuối uỷ quyền và trao đổi mã thông báo tuân thủ OAuth 2.0.
• Điểm cuối trao đổi mã thông báo phải hỗ trợ các câu lệnh JSON Web Token (JWT) và triển khai các ý định check, create và get.

• Đăng ký Mã ứng dụng khách Google API.

Triển khai máy chủ OAuth

Điểm cuối trao đổi mã thông báo phải hỗ trợ các ý định check, create, get. Hãy làm theo các bước sau để hoàn tất quy trình liên kết tài khoản và tìm hiểu thời điểm sử dụng các ý định khác nhau:

1. Người dùng có tài khoản trong hệ thống xác thực của bạn không? (Người dùng quyết định bằng cách chọn CÓ hoặc KHÔNG)
   1. CÓ : Người dùng có sử dụng email liên kết với Tài khoản Google của họ để đăng nhập vào nền tảng của bạn không? (Người dùng quyết định bằng cách chọn CÓ hoặc KHÔNG)
      1. CÓ : Người dùng có tài khoản phù hợp trong hệ thống xác thực của bạn không? (check intent được gọi để xác nhận)
         1. CÓ : get intent được gọi và tài khoản được liên kết nếu ý định get trả về thành công.
         2. KHÔNG : Tạo tài khoản mới? (Người dùng quyết định bằng cách chọn CÓ hoặc KHÔNG)
            1. CÓ : create intent được gọi và tài khoản được liên kết nếu ý định create trả về thành công.
            2. KHÔNG : Quy trình OAuth trên web được kích hoạt, người dùng được chuyển hướng đến trình duyệt của họ và được cung cấp lựa chọn liên kết với một email khác.
      2. KHÔNG : Quy trình OAuth trên web được kích hoạt, người dùng được chuyển hướng đến trình duyệt của họ và được cung cấp lựa chọn liên kết với một email khác.
   2. KHÔNG : Người dùng có tài khoản phù hợp trong hệ thống xác thực của bạn không? (check intent được gọi để xác nhận)
      1. CÓ : get intent được gọi và tài khoản được liên kết nếu ý định get trả về thành công.
      2. KHÔNG : create intent được gọi và tài khoản được liên kết nếu ý định create trả về thành công.

Kiểm tra tài khoản người dùng hiện có (kiểm tra ý định)

Sau khi người dùng đồng ý truy cập vào hồ sơ trên Google của họ, Google sẽ gửi yêu cầu chứa xác nhận có chữ ký về danh tính của người dùng Google. Chiến lược phát hành đĩa đơn xác nhận chứa thông tin bao gồm ID Tài khoản Google của người dùng, tên và địa chỉ email của bạn. Điểm cuối trao đổi mã thông báo được định cấu hình cho dự án sẽ xử lý yêu cầu đó.

Nếu đã có Tài khoản Google tương ứng trong quá trình xác thực hệ thống, điểm cuối trao đổi mã thông báo của bạn sẽ phản hồi bằng account_found=true. Nếu Tài khoản Google không khớp với người dùng hiện có, điểm cuối trao đổi mã thông báo của bạn trả về lỗi HTTP 404 Not found (Không tìm thấy) với account_found=false.

Yêu cầu có biểu mẫu sau:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=check&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

Điểm cuối trao đổi mã thông báo của bạn phải có khả năng xử lý các tham số sau:

Để phản hồi các yêu cầu về ý định check, điểm cuối trao đổi mã thông báo phải thực hiện các bước sau:

• Xác thực và giải mã câu nhận định JWT.
• Kiểm tra xem Tài khoản Google đã có trong hệ thống xác thực của bạn hay chưa.

Validate and decode the JWT assertion

You can validate and decode the JWT assertion by using a JWT-decoding library for your language. Use Google's public keys, available in JWK or PEM formats, to verify the token's signature.

When decoded, the JWT assertion looks like the following example:

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

In addition to verifying the token's signature, verify that the assertion's issuer (iss field) is https://accounts.google.com, that the audience (aud field) is your assigned client ID, and that the token has not expired (exp field).

Using the email, email_verified and hd fields you can determine if Google hosts and is authoritative for an email address. In cases where Google is authoritative the user is currently known to be the legitimate account owner and you may skip password or other challenges methods. Otherwise, these methods can be used to verify the account prior to linking.

Cases where Google is authoritative:

• email has a @gmail.com suffix, this is a Gmail account.
• email_verified is true and hd is set, this is a G Suite account.

Users may register for Google Accounts without using Gmail or G Suite. When email does not contain a @gmail.com suffix and hd is absent Google is not authoritative and password or other challenge methods are recommended to verify the user. email_verified can also be true as Google initially verified the user when the Google account was created, however ownership of the third party email account may have since changed.

Kiểm tra xem Tài khoản Google đã có trong hệ thống xác thực của bạn hay chưa

Kiểm tra xem một trong các điều kiện sau có đúng hay không:

• Mã Tài khoản Google (trong trường sub của câu nhận định) nằm trong tài khoản người dùng của bạn cơ sở dữ liệu.
• Địa chỉ email trong câu nhận định khớp với một người dùng trong cơ sở dữ liệu người dùng của bạn.

Nếu một trong hai điều kiện đúng, thì người dùng đã đăng ký. Trong trường hợp đó, trả về phản hồi như sau:

HTTP/1.1 200 Success
Content-Type: application/json;charset=UTF-8

{
  "account_found":"true",
}

Nếu cả mã Tài khoản Google và địa chỉ email được chỉ định trong khớp với người dùng trong cơ sở dữ liệu của bạn, người dùng chưa đăng ký. Trong trong trường hợp này, điểm cuối trao đổi mã thông báo của bạn cần phải trả lời bằng lỗi HTTP 404 chỉ định "account_found": "false", như trong ví dụ sau:

HTTP/1.1 404 Not found
Content-Type: application/json;charset=UTF-8

{
  "account_found":"false",
}

Xử lý tính năng liên kết tự động (nhận ý định)

Sau khi người dùng đồng ý truy cập vào hồ sơ trên Google của họ, Google sẽ gửi yêu cầu chứa xác nhận có chữ ký về danh tính của người dùng Google. Chiến lược phát hành đĩa đơn xác nhận chứa thông tin bao gồm ID Tài khoản Google của người dùng, tên và địa chỉ email của bạn. Điểm cuối trao đổi mã thông báo được định cấu hình cho dự án sẽ xử lý yêu cầu đó.

Nếu đã có Tài khoản Google tương ứng trong quá trình xác thực điểm cuối trao đổi mã thông báo của bạn sẽ trả về một mã thông báo cho người dùng. Nếu Tài khoản Google không khớp với người dùng hiện có, điểm cuối trao đổi mã thông báo của bạn sẽ trả về lỗi linking_error và login_hint tuỳ chọn.

Yêu cầu có biểu mẫu sau:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=get&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

Điểm cuối trao đổi mã thông báo của bạn phải có khả năng xử lý các tham số sau:

Để phản hồi các yêu cầu về ý định get, điểm cuối trao đổi mã thông báo phải thực hiện các bước sau:

• Xác thực và giải mã câu nhận định JWT.
• Kiểm tra xem Tài khoản Google đã có trong hệ thống xác thực của bạn hay chưa.

Validate and decode the JWT assertion

You can validate and decode the JWT assertion by using a JWT-decoding library for your language. Use Google's public keys, available in JWK or PEM formats, to verify the token's signature.

When decoded, the JWT assertion looks like the following example:

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

In addition to verifying the token's signature, verify that the assertion's issuer (iss field) is https://accounts.google.com, that the audience (aud field) is your assigned client ID, and that the token has not expired (exp field).

Using the email, email_verified and hd fields you can determine if Google hosts and is authoritative for an email address. In cases where Google is authoritative the user is currently known to be the legitimate account owner and you may skip password or other challenges methods. Otherwise, these methods can be used to verify the account prior to linking.

Cases where Google is authoritative:

• email has a @gmail.com suffix, this is a Gmail account.
• email_verified is true and hd is set, this is a G Suite account.

Users may register for Google Accounts without using Gmail or G Suite. When email does not contain a @gmail.com suffix and hd is absent Google is not authoritative and password or other challenge methods are recommended to verify the user. email_verified can also be true as Google initially verified the user when the Google account was created, however ownership of the third party email account may have since changed.

Kiểm tra xem Tài khoản Google đã có trong hệ thống xác thực của bạn hay chưa

Kiểm tra xem một trong các điều kiện sau có đúng hay không:

• Mã Tài khoản Google (trong trường sub của câu nhận định) nằm trong tài khoản người dùng của bạn cơ sở dữ liệu.
• Địa chỉ email trong câu nhận định khớp với một người dùng trong cơ sở dữ liệu người dùng của bạn.

Nếu tìm thấy tài khoản cho người dùng, hãy cấp mã truy cập và trả về các giá trị trong đối tượng JSON trong phần nội dung của phản hồi HTTPS, như trong ví dụ sau:

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",
  "refresh_token": "REFRESH_TOKEN",
  "expires_in": SECONDS_TO_EXPIRATION
}

Trong một số trường hợp, người dùng có thể không liên kết được tài khoản dựa trên mã thông báo mã nhận dạng. Nếu làm như vậy vì bất kỳ lý do gì, điểm cuối trao đổi mã thông báo của bạn cần phải trả lời bằng HTTP Lỗi 401 chỉ định error=linking_error, như trong ví dụ sau:

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"foo@bar.com"
}

Khi nhận được phản hồi lỗi 401 với linking_error, Google sẽ gửi người dùng đến điểm cuối uỷ quyền của bạn bằng tham số login_hint. Chiến lược phát hành đĩa đơn người dùng hoàn tất quá trình liên kết tài khoản bằng quy trình liên kết OAuth trong trình duyệt của họ.

Xử lý việc tạo tài khoản bằng tính năng Đăng nhập bằng Google (tạo ý định)

Khi người dùng cần tạo tài khoản trên dịch vụ của bạn, Google sẽ gửi một yêu cầu đến điểm cuối trao đổi mã thông báo của bạn, trong đó chỉ định intent=create.

Yêu cầu có dạng như sau:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

response_type=token&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&scope=SCOPES&intent=create&assertion=JWT&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

Điểm cuối trao đổi mã thông báo của bạn phải xử lý được các tham số sau:

JWT trong tham số assertion chứa mã nhận dạng Tài khoản Google, tên và địa chỉ email của người dùng. Bạn có thể dùng mã này để tạo một tài khoản mới trên dịch vụ của mình.

Để phản hồi các yêu cầu về ý định create, điểm cuối trao đổi mã thông báo của bạn phải thực hiện các bước sau:

• Xác thực và giải mã câu khẳng định JWT.
• Xác thực thông tin người dùng và tạo tài khoản mới.

Validate and decode the JWT assertion

You can validate and decode the JWT assertion by using a JWT-decoding library for your language. Use Google's public keys, available in JWK or PEM formats, to verify the token's signature.

When decoded, the JWT assertion looks like the following example:

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

In addition to verifying the token's signature, verify that the assertion's issuer (iss field) is https://accounts.google.com, that the audience (aud field) is your assigned client ID, and that the token has not expired (exp field).

Using the email, email_verified and hd fields you can determine if Google hosts and is authoritative for an email address. In cases where Google is authoritative the user is currently known to be the legitimate account owner and you may skip password or other challenges methods. Otherwise, these methods can be used to verify the account prior to linking.

Cases where Google is authoritative:

• email has a @gmail.com suffix, this is a Gmail account.
• email_verified is true and hd is set, this is a G Suite account.

Users may register for Google Accounts without using Gmail or G Suite. When email does not contain a @gmail.com suffix and hd is absent Google is not authoritative and password or other challenge methods are recommended to verify the user. email_verified can also be true as Google initially verified the user when the Google account was created, however ownership of the third party email account may have since changed.

Xác thực thông tin người dùng và tạo tài khoản mới

Kiểm tra xem một trong hai điều kiện sau có đúng hay không:

• Mã tài khoản Google, có trong trường sub của câu nhận định, nằm trong cơ sở dữ liệu người dùng của bạn.
• Địa chỉ email trong câu khẳng định khớp với một người dùng trong cơ sở dữ liệu người dùng của bạn.

Nếu một trong hai điều kiện này là đúng, hãy nhắc người dùng liên kết tài khoản hiện có của họ với Tài khoản Google. Để làm như vậy, hãy phản hồi yêu cầu bằng lỗi HTTP 401 chỉ định error=linking_error và cung cấp địa chỉ email của người dùng làm login_hint. Sau đây là một phản hồi mẫu:

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"foo@bar.com"
}

Khi nhận được phản hồi lỗi 401 có linking_error, Google sẽ gửi người dùng đến điểm cuối uỷ quyền của bạn bằng login_hint làm tham số. Người dùng hoàn tất quy trình liên kết tài khoản bằng quy trình liên kết OAuth trong trình duyệt của họ.

Nếu không có điều kiện nào đúng, hãy tạo một tài khoản người dùng mới bằng thông tin được cung cấp trong JWT. Các tài khoản mới thường không có mật khẩu. Bạn nên thêm tính năng Đăng nhập bằng Google vào các nền tảng khác để cho phép người dùng đăng nhập bằng Google trên các nền tảng của ứng dụng. Ngoài ra, bạn có thể gửi email cho người dùng một đường liên kết bắt đầu quy trình khôi phục mật khẩu để cho phép người dùng đặt mật khẩu để đăng nhập trên các nền tảng khác.

Khi quá trình tạo hoàn tất, hãy phát hành mã truy cập , rồi trả về các giá trị trong một đối tượng JSON trong nội dung phản hồi HTTPS, như trong ví dụ sau:

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",
  "refresh_token": "REFRESH_TOKEN",
  "expires_in": SECONDS_TO_EXPIRATION
}

Lấy Mã ứng dụng khách Google API

Bạn sẽ phải cung cấp Mã ứng dụng khách Google API trong quá trình đăng ký Liên kết tài khoản.

Cách lấy Mã ứng dụng khách API bằng dự án mà bạn đã tạo trong khi hoàn tất các bước Liên kết OAuth. Để thực hiện điều này, vui lòng hoàn thành các bước sau:

1. Chuyển đến trang Ứng dụng.

2. Tạo hoặc chọn một dự án API của Google.

   Nếu dự án của bạn không có Mã ứng dụng cho Loại ứng dụng web, hãy nhấp vào Tạo ứng dụng để tạo một mã. Hãy nhớ thêm miền của trang web vào hộp Nguồn gốc JavaScript được uỷ quyền. Khi thực hiện kiểm thử hoặc phát triển cục bộ, bạn phải thêm cả http://localhost và http://localhost:<port_number> vào trường Nguồn gốc JavaScript được uỷ quyền.

Xác thực cách triển khai của bạn

Bạn có thể xác thực việc triển khai bằng cách sử dụng công cụ OAuth 2.0 Playground.

Trong công cụ này, hãy thực hiện các bước sau:

1. Nhấp vào Configuration settings để mở cửa sổ OAuth 2.0 Configuration (Cấu hình OAuth 2.0).
2. Trong trường OAuth flow (Quy trình OAuth), hãy chọn Client-side (Phía máy khách).
3. Trong trường OAuth Endpoints (Điểm cuối OAuth), hãy chọn Custom (Tuỳ chỉnh).
4. Chỉ định điểm cuối OAuth 2.0 và mã ứng dụng khách mà bạn đã chỉ định cho Google trong các trường tương ứng.
5. Trong phần Step 1 (Bước 1), đừng chọn phạm vi nào của Google. Thay vào đó, hãy để trống trường này hoặc nhập một phạm vi hợp lệ cho máy chủ của bạn (hoặc một chuỗi tuỳ ý nếu bạn không sử dụng phạm vi OAuth). Khi hoàn tất, hãy nhấp vào Authorize APIs (Cấp quyền cho API).
6. Trong phần Step 2 (Bước 2) và Step 3 (Bước 3), hãy thực hiện quy trình OAuth 2.0 và xác minh rằng mỗi bước đều hoạt động như dự kiến.

Bạn có thể xác thực việc triển khai bằng cách sử dụng công cụ Google Account Linking Demo.

Trong công cụ này, hãy thực hiện các bước sau:

1. Nhấp vào nút Sign in with Google (Đăng nhập bằng Google).
2. Chọn tài khoản mà bạn muốn liên kết.
3. Nhập mã dịch vụ.
4. Bạn có thể nhập một hoặc nhiều phạm vi mà bạn sẽ yêu cầu quyền truy cập.
5. Nhấp vào Start Demo (Bắt đầu bản minh hoạ).
6. Khi được nhắc, hãy xác nhận rằng bạn có thể đồng ý và từ chối yêu cầu liên kết.
7. Xác nhận rằng bạn được chuyển hướng đến nền tảng của mình.