Usa el modelo de tokens

La biblioteca JavaScript google.accounts.oauth2 te ayuda a solicitar acceso al usuario y obtener un token de acceso para trabajar con los datos del usuario. Se basa en el Flujo de otorgamiento implícito de OAuth 2.0 y diseñado para que puedas llamar a Google directamente con REST y CORS, o para usar nuestra biblioteca cliente de APIs de Google para JavaScript (también conocido como gapi.client) para obtener un acceso simple y flexible a nuestros para APIs más complejas.

Antes de acceder a los datos protegidos del usuario desde un navegador, los usuarios de tu sitio activan el Selector de cuentas, el acceso y los procesos de consentimiento basados en la Web de Google y, por último, Los servidores de OAuth de Google generan problemas y muestran un token de acceso a tu app web.

En el modelo de autorización basado en tokens, no es necesario almacenar datos por usuario en tu servidor de backend.

Te recomendamos que sigas el enfoque descrito aquí en lugar del técnicas que abarca la versión anterior de OAuth 2.0 para aplicaciones web del cliente .

Configuración

Para buscar o crear un ID de cliente, sigue los pasos que se describen en la sección Cómo obtener Guía de ID de cliente de la API de Google. A continuación, agrega la biblioteca cliente a las páginas. en tu sitio que llamarán a las APIs de Google. Por último, inicializa el token cliente. Por lo general, esto se hace dentro del controlador onload de la biblioteca cliente.

Inicializa un cliente de tokens

Llama a initTokenClient() para inicializar un cliente de token nuevo con el código de tu aplicación web. ID de cliente. De manera opcional, puedes incluir una lista de uno o más alcances del usuario. necesita acceder a:

const client = google.accounts.oauth2.initTokenClient({
  client_id: 'YOUR_GOOGLE_CLIENT_ID',
  scope: 'https://www.googleapis.com/auth/calendar.readonly',
  callback: (response) => {
    ...
  },
});

Activa el flujo de tokens de OAuth 2.0

Usa el método requestAccessToken() para activar el flujo de UX del token y obtener un token de acceso. Google solicita al usuario lo siguiente:

• Elige su cuenta
• acceder a la Cuenta de Google si aún no lo hiciste,
• otorgar consentimiento para que tu app web acceda a cada alcance solicitado

Un gesto del usuario activa el flujo del token: <button onclick="client.requestAccessToken();">Authorize me</button>

Luego, Google muestra un TokenResponse que contiene un token de acceso y una lista de los permisos a los que el usuario le otorgó acceso o un error a tu controlador de devolución de llamada.

Los usuarios pueden cerrar el selector de cuentas o las ventanas de acceso. En ese caso, la función de devolución de llamada no se invocará.

Cómo administrar el consentimiento

El diseño y la experiencia del usuario para tu aplicación deben implementarse solo después de que revisión exhaustiva de las Políticas de OAuth 2.0 de Google. Estas políticas abarcan cómo trabajar con varios permisos, cuándo y cómo gestionar el consentimiento del usuario y mucho más.

La autorización incremental es una política y una metodología de diseño de apps que se utiliza para lo siguiente: solicitar acceso a los recursos, usando permisos, solo cuando sea necesario y no por adelantado y de una sola vez. Los usuarios pueden aprobar o rechazar el uso compartido de los recursos individuales. que solicita tu app, se conocen como permisos detallados.

Durante este proceso, Google solicita el consentimiento del usuario y enumera individualmente cada uno permiso solicitado, los usuarios seleccionan los recursos para compartir con tu app Por último, Google invoca tu función de devolución de llamada para mostrar un token de acceso y un permiso permisos aprobados. Así, tu app administrará de forma segura los distintos resultados posible con permisos detallados.

Autorización incremental

Para las aplicaciones web, las siguientes dos situaciones de alto nivel demuestran el aumento autorización con:

• Una app de Ajax de una sola página que suele usar XMLHttpRequest con acceso dinámico a de Google Cloud.
• Varias páginas web, los recursos se separan y administran por página.

Estos dos escenarios se presentan para ilustrar las consideraciones de diseño y de software, pero no están pensados para ser recomendaciones completas sobre cómo para generar el consentimiento en tu app. Las aplicaciones del mundo real pueden usar una variación o una combinación de estas técnicas.

Ajax

Realiza varias llamadas para agregar compatibilidad con la autorización incremental de tu app a requestAccessToken() y usando el objeto OverridableTokenClientConfig El parámetro scope para solicitar permisos individuales en el momento en que sean necesarios solo cuando es necesario. En este ejemplo, los recursos se solicitarán y serán visibles. solo después de que un gesto del usuario expande una sección de contenido contraída

        const client = google.accounts.oauth2.initTokenClient({
          client_id: 'YOUR_GOOGLE_CLIENT_ID',
          callback: "onTokenResponse",
        });
      

          client.requestAccessToken(
            overrideConfig = ({
               scope = 'https://www.googleapis.com/auth/documents.readonly'
             })
           );
        

          client.requestAccessToken(
            overrideConfig = ({
               scope = 'https://www.googleapis.com/auth/calendar.readonly'
             })
           );
        

          client.requestAccessToken(
            overrideConfig = ({
               scope = 'https://www.googleapis.com/auth/photoslibrary.readonly'
             })
           );
        

Cada llamada a requestAccessToken activa un momento de consentimiento del usuario. Tu app tengan acceso solo a los recursos requeridos por la sección que el usuario elija lo que limita el uso compartido de recursos a través de la elección del usuario.

Varias páginas web

Al diseñar para la autorización incremental, se usan varias páginas para solicitar solo los permisos necesarios para cargar una página, lo que reduce la complejidad y la necesidad de Realizar varias llamadas para obtener el consentimiento del usuario y recuperar un token de acceso

  const client = google.accounts.oauth2.initTokenClient({
    client_id: 'YOUR_GOOGLE_CLIENT_ID',
    callback: "onTokenResponse",
    scope: 'https://www.googleapis.com/auth/documents.readonly',
  });
  client.requestAccessToken();
          

  const client = google.accounts.oauth2.initTokenClient({
    client_id: 'YOUR_GOOGLE_CLIENT_ID',
    callback: "onTokenResponse",
    scope: 'https://www.googleapis.com/auth/calendar.readonly',
  });
  client.requestAccessToken();
          

  const client = google.accounts.oauth2.initTokenClient({
    client_id: 'YOUR_GOOGLE_CLIENT_ID',
    callback: "onTokenResponse",
    scope: 'https://www.googleapis.com/auth/photoslibrary.readonly',
  });
  client.requestAccessToken();
          

Cada página solicita el permiso necesario y obtiene un token de acceso llamando initTokenClient() y requestAccessToken() en el tiempo de carga. En este caso, las páginas web individuales se utilizan para separar claramente la funcionalidad del usuario y recursos por alcance. En una situación real, páginas individuales pueden solicitar múltiples alcances relacionados.

Permisos detallados

Los permisos detallados se controlan de la misma manera en todas las situaciones. después de requestAccessToken() invoca tu función de devolución de llamada y un token de acceso. se muestra, verifica que el usuario haya aprobado los permisos solicitados con hasGrantedAllScopes() o hasGrantedAnyScope(). Por ejemplo:

const client = google.accounts.oauth2.initTokenClient({
  client_id: 'YOUR_GOOGLE_CLIENT_ID',
  scope: 'https://www.googleapis.com/auth/calendar.readonly \
          https://www.googleapis.com/auth/documents.readonly \
          https://www.googleapis.com/auth/photoslibrary.readonly',
  callback: (tokenResponse) => {
    if (tokenResponse && tokenResponse.access_token) {
      if (google.accounts.oauth2.hasGrantedAnyScope(tokenResponse,
          'https://www.googleapis.com/auth/photoslibrary.readonly')) {
        // Look at pictures
        ...
      }
      if (google.accounts.oauth2.hasGrantedAllScopes(tokenResponse,
          'https://www.googleapis.com/auth/calendar.readonly',
          'https://www.googleapis.com/auth/documents.readonly')) {
        // Meeting planning and review documents
        ...
      }
    }
  },
});

Cualquier concesión aceptada anteriormente de sesiones o solicitudes anteriores también se incluido en la respuesta. Se mantiene un registro de consentimiento por usuario y Es el ID de cliente y persiste en varias llamadas a initTokenClient() o requestAccessToken() De forma predeterminada, el consentimiento del usuario solo es necesario desde el primer momento cada vez que un usuario visita tu sitio web y solicita un nuevo alcance, pero es posible que se solicite cada carga de página mediante prompt=consent en los objetos de configuración del cliente de tokens.

Trabaja con tokens

En el modelo de tokens, el SO o el navegador no almacenan los tokens de acceso. En su lugar, se obtiene un token nuevo al momento de cargar la página o, posteriormente, mediante la activación de un llamada a requestAccessToken() mediante un gesto del usuario, como presionar un botón.

Usa REST y CORS con las APIs de Google

Se puede usar un token de acceso para realizar solicitudes autenticadas a las APIs de Google usando REST y CORS. Esto permite que los usuarios accedan y otorguen su consentimiento, y que Google emita una el token de acceso y tu sitio para trabajar con los datos del usuario.

En este ejemplo, se pueden ver los próximos eventos del calendario de los usuarios que accedieron con la token de acceso que muestra tokenRequest():

var xhr = new XMLHttpRequest();
xhr.open('GET', 'https://www.googleapis.com/calendar/v3/calendars/primary/events');
xhr.setRequestHeader('Authorization', 'Bearer ' + tokenResponse.access_token);
xhr.send();

Consulta Cómo usar CORS para acceder a las APIs de Google para obtener más información.

En la siguiente sección, se explica cómo realizar integraciones sencillas con APIs más complejas.

Trabaja con la biblioteca de JavaScript de las APIs de Google

El cliente del token trabaja con la biblioteca cliente de la API de Google para JavaScript Consulta el fragmento de código que aparece a continuación.

const client = google.accounts.oauth2.initTokenClient({
  client_id: 'YOUR_GOOGLE_CLIENT_ID',
  scope: 'https://www.googleapis.com/auth/calendar.readonly',
  callback: (tokenResponse) => {
    if (tokenResponse && tokenResponse.access_token) {
      gapi.client.setApiKey('YOUR_API_KEY');
      gapi.client.load('calendar', 'v3', listUpcomingEvents);
    }
  },
});

function listUpcomingEvents() {
  gapi.client.calendar.events.list(...);
}

Vencimiento del token

Por diseño, los tokens de acceso tienen una vida útil corta. Si el token de acceso vence antes de finalizar la sesión del usuario, llama para obtener un token nuevo requestAccessToken() a partir de un evento controlado por el usuario, como la pulsación de un botón.

Uso de un token de acceso para revocar el consentimiento

Llama al método google.accounts.oauth2.revoke para quitar el consentimiento del usuario y acceso a recursos para todos los permisos otorgados a tu app. Un acceso válido el token es necesario para revocar este permiso:

google.accounts.oauth2.revoke('414a76cb127a7ece7ee4bf287602ca2b56f8fcbf7fcecc2cd4e0509268120bd7', done => {
    console.log(done);
    console.log(done.successful);
    console.log(done.error);
    console.log(done.error_description);
  });