OpenID কানেক্ট

Google এর OAuth 2.0 API প্রমাণীকরণ এবং অনুমোদন উভয়ের জন্য ব্যবহার করা যেতে পারে। এই নথিটি প্রমাণীকরণের জন্য আমাদের OAuth 2.0 বাস্তবায়নের বর্ণনা করে, যা OpenID Connect স্পেসিফিকেশনের সাথে সামঞ্জস্যপূর্ণ এবং OpenID সার্টিফাইড । Google API অ্যাক্সেস করার জন্য OAuth 2.0 ব্যবহার করে পাওয়া ডকুমেন্টেশন এই পরিষেবাতেও প্রযোজ্য। আপনি যদি এই প্রোটোকলটি ইন্টারেক্টিভভাবে অন্বেষণ করতে চান, তাহলে আমরা Google OAuth 2.0 প্লেগ্রাউন্ডের সুপারিশ করি। স্ট্যাক ওভারফ্লোতে সাহায্য পেতে, 'google-oauth'-এর সাথে আপনার প্রশ্ন ট্যাগ করুন।

OAuth 2.0 সেট আপ করা হচ্ছে

আপনার অ্যাপ্লিকেশন ব্যবহারকারী লগইনের জন্য Google এর OAuth 2.0 প্রমাণীকরণ সিস্টেম ব্যবহার করার আগে, আপনাকে অবশ্যই একটি প্রকল্প সেট আপ করতে হবে OAuth 2.0 শংসাপত্রগুলি পেতে, একটি পুনঃনির্দেশিত URI সেট করুন এবং (ঐচ্ছিকভাবে) আপনার ব্যবহারকারীরা ব্যবহারকারী-সম্মতি স্ক্রিনে যে ব্র্যান্ডিং তথ্য দেখতে পান তা কাস্টমাইজ করুন৷ এছাড়াও আপনি ব্যবহার করতে পারেন একটি পরিষেবা অ্যাকাউন্ট তৈরি করতে, বিলিং সক্ষম করতে, ফিল্টারিং সেট আপ করতে এবং অন্যান্য কাজগুলি করতে৷ আরো বিস্তারিত জানার জন্য, দেখুন সাহায্য

OAuth 2.0 শংসাপত্রগুলি পান৷

ব্যবহারকারীদের প্রমাণীকরণ করতে এবং Google-এর API-এ অ্যাক্সেস পেতে আপনার একটি ক্লায়েন্ট আইডি এবং ক্লায়েন্ট সিক্রেট সহ OAuth 2.0 শংসাপত্রের প্রয়োজন।

প্রদত্ত OAuth 2.0 শংসাপত্রের জন্য ক্লায়েন্ট আইডি এবং ক্লায়েন্টের গোপনীয়তা দেখতে, নিম্নলিখিত পাঠ্যটিতে ক্লিক করুন : শংসাপত্র নির্বাচন করুন । উইন্ডোটি খোলে, আপনার প্রকল্প এবং আপনি যে শংসাপত্র চান তা চয়ন করুন, তারপরে দেখুন ক্লিক করুন।

অথবা, API Console এ শংসাপত্র পৃষ্ঠা থেকে আপনার ক্লায়েন্ট আইডি এবং ক্লায়েন্টের গোপনীয়তা দেখুন:

1. Go to the Credentials page.
2. আপনার শংসাপত্রের নাম বা পেন্সিল ( create ) আইকনটি ক্লিক করুন। আপনার ক্লায়েন্ট আইডি এবং গোপন পৃষ্ঠার শীর্ষে আছে।

একটি রিডাইরেক্ট ইউআরআই সেট করুন

রিডাইরেক্ট ইউআরআই যা আপনি সেট করেছেন Google আপনার প্রমাণীকরণ অনুরোধের প্রতিক্রিয়া কোথায় পাঠাবে তা নির্ধারণ করে।

প্রদত্ত OAuth 2.0 শংসাপত্রের জন্য পুনঃনির্দেশিত ইউআরআইগুলি তৈরি করতে, দেখতে বা সম্পাদনা করতে নিম্নলিখিতটি করুন:

1. Go to the Credentials page.
2. পৃষ্ঠার OAuth 2.0 ক্লায়েন্ট আইডি বিভাগে, একটি শংসাপত্র ক্লিক করুন।
3. পুনঃনির্দেশিত ইউআরআইগুলি দেখুন বা সম্পাদনা করুন।

শংসাপত্র পৃষ্ঠায় যদি কোনও OAuth 2.0 ক্লায়েন্ট আইডি বিভাগ না থাকে, তবে আপনার প্রকল্পের কোনও OAuth শংসাপত্র নেই। একটি তৈরি করতে, শংসাপত্র তৈরি করুন ক্লিক করুন ।

ব্যবহারকারীর সম্মতি স্ক্রীন কাস্টমাইজ করুন

আপনার ব্যবহারকারীদের জন্য, OAuth 2.0 প্রমাণীকরণ অভিজ্ঞতার মধ্যে একটি সম্মতি স্ক্রীন রয়েছে যা ব্যবহারকারী যে তথ্য প্রকাশ করছে এবং যে শর্তাবলী প্রযোজ্য তা বর্ণনা করে। উদাহরণস্বরূপ, যখন ব্যবহারকারী লগ ইন করেন, তখন তাদের আপনার অ্যাপটিকে তাদের ইমেল ঠিকানা এবং প্রাথমিক অ্যাকাউন্ট তথ্যে অ্যাক্সেস দিতে বলা হতে পারে। আপনি scope প্যারামিটার ব্যবহার করে এই তথ্যে অ্যাক্সেসের অনুরোধ করেন, যা আপনার অ্যাপটি তার প্রমাণীকরণ অনুরোধে অন্তর্ভুক্ত করে। আপনি অন্যান্য Google API-এ অ্যাক্সেসের অনুরোধ করতে স্কোপ ব্যবহার করতে পারেন।

ব্যবহারকারীর সম্মতি স্ক্রীন আপনার পণ্যের নাম, লোগো এবং একটি হোমপেজের URL এর মতো ব্র্যান্ডিং তথ্যও উপস্থাপন করে। আপনি ব্র্যান্ডিং তথ্য নিয়ন্ত্রণ .

আপনার প্রকল্পের সম্মতি পর্দা সক্ষম করতে:

1. খুলুন Consent Screen page মধ্যে Google API Console ।
2. If prompted, select a project, or create a new one.
3. ফর্মটি পূরণ করুন এবং সংরক্ষণ করুন ক্লিক করুন ।

নিম্নলিখিত সম্মতি ডায়ালগ দেখায় যে অনুরোধে OAuth 2.0 এবং Google ড্রাইভ স্কোপের সংমিশ্রণ উপস্থিত থাকলে একজন ব্যবহারকারী কী দেখতে পাবেন। (এই জেনেরিক ডায়ালগটি Google OAuth 2.0 প্লেগ্রাউন্ড ব্যবহার করে তৈরি করা হয়েছিল, তাই এতে ব্র্যান্ডিং তথ্য অন্তর্ভুক্ত নয় যা সেট করা হবে .)

পরিষেবা অ্যাক্সেস করা

Google এবং তৃতীয় পক্ষগুলি লাইব্রেরিগুলি সরবরাহ করে যা আপনি ব্যবহারকারীদের প্রমাণীকরণ এবং Google API-এ অ্যাক্সেস লাভের অনেকগুলি বাস্তবায়নের বিবরণের যত্ন নিতে ব্যবহার করতে পারেন। উদাহরণগুলির মধ্যে রয়েছে Google পরিচয় পরিষেবা এবং Google ক্লায়েন্ট লাইব্রেরি , যা বিভিন্ন প্ল্যাটফর্মের জন্য উপলব্ধ৷

আপনি যদি একটি লাইব্রেরি ব্যবহার না করা বেছে নেন, তাহলে এই নথির বাকি নির্দেশাবলী অনুসরণ করুন, যা উপলব্ধ লাইব্রেরিগুলির অন্তর্নিহিত HTTP অনুরোধের প্রবাহকে বর্ণনা করে৷

ব্যবহারকারী প্রমাণীকরণ

ব্যবহারকারীকে প্রমাণীকরণের সাথে একটি আইডি টোকেন প্রাপ্ত করা এবং এটি যাচাই করা জড়িত। আইডি টোকেন হল OpenID Connect- এর একটি প্রমিত বৈশিষ্ট্য যা ইন্টারনেটে পরিচয় দাবী শেয়ার করার জন্য ব্যবহার করার জন্য ডিজাইন করা হয়েছে।

ব্যবহারকারীর প্রমাণীকরণ এবং একটি আইডি টোকেন পাওয়ার জন্য সবচেয়ে বেশি ব্যবহৃত পন্থাগুলিকে "সার্ভার" প্রবাহ এবং "অন্তর্নিহিত" প্রবাহ বলা হয়। সার্ভার ফ্লো একটি অ্যাপ্লিকেশনের ব্যাক-এন্ড সার্ভারকে একটি ব্রাউজার বা মোবাইল ডিভাইস ব্যবহার করে ব্যক্তির পরিচয় যাচাই করতে দেয়। অন্তর্নিহিত প্রবাহ ব্যবহার করা হয় যখন একটি ক্লায়েন্ট-সাইড অ্যাপ্লিকেশন (সাধারণত ব্রাউজারে চলমান একটি জাভাস্ক্রিপ্ট অ্যাপ) এর ব্যাক-এন্ড সার্ভারের পরিবর্তে সরাসরি API অ্যাক্সেস করতে হয়।

এই নথিটি ব্যবহারকারীকে প্রমাণীকরণের জন্য সার্ভারের প্রবাহ কীভাবে সম্পাদন করতে হয় তা বর্ণনা করে। ক্লায়েন্ট সাইডে টোকেন পরিচালনা এবং ব্যবহারে নিরাপত্তা ঝুঁকির কারণে অন্তর্নিহিত প্রবাহ উল্লেখযোগ্যভাবে আরও জটিল। আপনি যদি একটি অন্তর্নিহিত প্রবাহ বাস্তবায়ন করতে চান, তাহলে আমরা Google আইডেন্টিটি পরিষেবাগুলি ব্যবহার করার সুপারিশ করি৷

সার্ভার প্রবাহ

আপনি আপনার অ্যাপ সেট আপ নিশ্চিত করুন এই প্রোটোকলগুলি ব্যবহার করতে এবং আপনার ব্যবহারকারীদের প্রমাণীকরণ করতে এটি সক্ষম করতে। যখন একজন ব্যবহারকারী Google-এর সাথে লগ ইন করার চেষ্টা করেন, তখন আপনাকে এটি করতে হবে:

1. একটি জালিয়াতি বিরোধী রাষ্ট্র টোকেন তৈরি করুন
2. Google-এ একটি প্রমাণীকরণ অনুরোধ পাঠান
3. জালিয়াতি বিরোধী রাষ্ট্র টোকেন নিশ্চিত করুন
4. অ্যাক্সেস টোকেন এবং আইডি টোকেনের জন্য এক্সচেঞ্জ code
5. আইডি টোকেন থেকে ব্যবহারকারীর তথ্য পান
6. ব্যবহারকারীকে প্রমাণীকরণ করুন

1. একটি জালিয়াতি বিরোধী রাষ্ট্র টোকেন তৈরি করুন৷

অনুরোধ জালিয়াতি আক্রমণ প্রতিরোধ করে আপনাকে অবশ্যই আপনার ব্যবহারকারীদের নিরাপত্তা রক্ষা করতে হবে। প্রথম ধাপ হল একটি অনন্য সেশন টোকেন তৈরি করা যা আপনার অ্যাপ এবং ব্যবহারকারীর ক্লায়েন্টের মধ্যে অবস্থা ধারণ করে। আপনি পরে এই অনন্য সেশন টোকেনটি Google OAuth লগইন পরিষেবা দ্বারা প্রত্যাবর্তিত প্রমাণীকরণ প্রতিক্রিয়ার সাথে মেলে যে ব্যবহারকারী অনুরোধটি করছেন এবং কোনও দূষিত আক্রমণকারী নয়৷ এই টোকেনগুলিকে প্রায়ই ক্রস-সাইট অনুরোধ জালিয়াতি ( CSRF ) টোকেন হিসাবে উল্লেখ করা হয়।

একটি রাষ্ট্রীয় টোকেনের জন্য একটি ভাল পছন্দ হল একটি উচ্চ-মানের র্যান্ডম-সংখ্যা জেনারেটর ব্যবহার করে নির্মিত 30 বা তার বেশি অক্ষরের একটি স্ট্রিং। আরেকটি হল একটি হ্যাশ যা আপনার সেশন স্টেট ভেরিয়েবলের কিছু সাইন ইন করে একটি কী দিয়ে যা আপনার ব্যাক-এন্ডে গোপন রাখা হয়।

নিম্নলিখিত কোড অনন্য সেশন টোকেন তৈরি করে দেখায়।

// Create a state token to prevent request forgery.
// Store it in the session for later validation.
$state = bin2hex(random_bytes(128/8));
$app['session']->set('state', $state);
// Set the client ID, token state, and application name in the HTML while
// serving it.
return $app['twig']->render('index.html', array(
    'CLIENT_ID' => CLIENT_ID,
    'STATE' => $state,
    'APPLICATION_NAME' => APPLICATION_NAME
));

// Create a state token to prevent request forgery.
// Store it in the session for later validation.
String state = new BigInteger(130, new SecureRandom()).toString(32);
request.session().attribute("state", state);
// Read index.html into memory, and set the client ID,
// token state, and application name in the HTML before serving it.
return new Scanner(new File("index.html"), "UTF-8")
    .useDelimiter("\\A").next()
    .replaceAll("[{]{2}\\s*CLIENT_ID\\s*[}]{2}", CLIENT_ID)
    .replaceAll("[{]{2}\\s*STATE\\s*[}]{2}", state)
    .replaceAll("[{]{2}\\s*APPLICATION_NAME\\s*[}]{2}",
    APPLICATION_NAME);

# Create a state token to prevent request forgery.
# Store it in the session for later validation.
state = hashlib.sha256(os.urandom(1024)).hexdigest()
session['state'] = state
# Set the client ID, token state, and application name in the HTML while
# serving it.
response = make_response(
    render_template('index.html',
                    CLIENT_ID=CLIENT_ID,
                    STATE=state,
                    APPLICATION_NAME=APPLICATION_NAME))

2. Google-এ একটি প্রমাণীকরণ অনুরোধ পাঠান৷

পরবর্তী ধাপটি উপযুক্ত URI পরামিতি সহ একটি HTTPS GET অনুরোধ তৈরি করছে। এই প্রক্রিয়ার সমস্ত ধাপে HTTP-এর পরিবর্তে HTTPS-এর ব্যবহার লক্ষ্য করুন; HTTP সংযোগ প্রত্যাখ্যান করা হয়. authorization_endpoint মেটাডেটা মান ব্যবহার করে ডিসকভারি ডকুমেন্ট থেকে আপনার বেস ইউআরআই পুনরুদ্ধার করা উচিত। নিম্নলিখিত আলোচনাটি অনুমান করে যে ভিত্তি URI হল https://accounts.google.com/o/oauth2/v2/auth ।

একটি মৌলিক অনুরোধের জন্য, নিম্নলিখিত পরামিতিগুলি নির্দিষ্ট করুন:

• client_id , যা আপনি থেকে পাবেন .
• response_type , যা একটি মৌলিক অনুমোদন কোড ফ্লো অনুরোধ code হওয়া উচিত। ( response_type এ আরও পড়ুন।)
• scope , যা একটি মৌলিক অনুরোধে openid email হওয়া উচিত। ( scope আরও পড়ুন।)
• redirect_uri আপনার সার্ভারে HTTP এন্ডপয়েন্ট হওয়া উচিত যা Google থেকে প্রতিক্রিয়া পাবে। মানটি অবশ্যই OAuth 2.0 ক্লায়েন্টের জন্য অনুমোদিত রিডাইরেক্ট ইউআরআইগুলির একটির সাথে মিলতে হবে, যা আপনি কনফিগার করেছেন Credentials page. যদি এই মানটি একটি অনুমোদিত URI-এর সাথে মেলে না, তাহলে অনুরোধটি একটি redirect_uri_mismatch ত্রুটির সাথে ব্যর্থ হবে৷
• state জালিয়াতি বিরোধী অনন্য সেশন টোকেনের মান অন্তর্ভুক্ত করা উচিত, সেইসাথে ব্যবহারকারী যখন আপনার অ্যাপ্লিকেশনে ফিরে আসে তখন প্রসঙ্গ পুনরুদ্ধারের জন্য প্রয়োজনীয় অন্য যেকোন তথ্য, যেমন, প্রারম্ভিক URL। ( state আরও পড়ুন।)
• nonce হল আপনার অ্যাপের দ্বারা উত্পন্ন একটি র্যান্ডম মান যা উপস্থিত থাকলে রিপ্লে সুরক্ষা সক্ষম করে৷
• login_hint ব্যবহারকারীর ইমেল ঠিকানা বা sub স্ট্রিং হতে পারে, যা ব্যবহারকারীর Google ID-এর সমতুল্য। আপনি যদি login_hint প্রদান না করেন এবং ব্যবহারকারী বর্তমানে লগ ইন করে থাকেন, তাহলে সম্মতি স্ক্রিনে আপনার অ্যাপে ব্যবহারকারীর ইমেল ঠিকানা প্রকাশ করার জন্য অনুমোদনের অনুরোধ অন্তর্ভুক্ত থাকে। ( login_hint আরও পড়ুন।)
• একটি Google Workspace বা ক্লাউড সংস্থার সাথে যুক্ত একটি নির্দিষ্ট ডোমেনের ব্যবহারকারীদের জন্য OpenID Connect ফ্লো অপ্টিমাইজ করতে hd প্যারামিটার ব্যবহার করুন ( hd এ আরও পড়ুন)।

এখানে একটি সম্পূর্ণ OpenID Connect প্রমাণীকরণ URI-এর একটি উদাহরণ রয়েছে, যেখানে লাইন বিরতি এবং পঠনযোগ্যতার জন্য স্পেস রয়েছে:

https://accounts.google.com/o/oauth2/v2/auth?
 response_type=code&
 client_id=424911365001.apps.googleusercontent.com&
 scope=openid%20email&
 redirect_uri=https%3A//oauth2.example.com/code&
 state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foauth2-login-demo.example.com%2FmyHome&
 login_hint=jsmith@example.com&
 nonce=0394852-3190485-2490358&
 hd=example.com

ব্যবহারকারীদের সম্মতি দিতে হবে যদি আপনার অ্যাপ তাদের সম্পর্কে কোনো নতুন তথ্যের অনুরোধ করে, অথবা যদি আপনার অ্যাপ অ্যাকাউন্ট অ্যাক্সেসের অনুরোধ করে যা তারা আগে অনুমোদন করেনি।

3. জালিয়াতি বিরোধী রাষ্ট্র টোকেন নিশ্চিত করুন

প্রতিক্রিয়াটি redirect_uri তে পাঠানো হয় যা আপনি অনুরোধে উল্লেখ করেছেন। সমস্ত প্রতিক্রিয়া ক্যোয়ারী স্ট্রিংয়ে ফেরত দেওয়া হয়, যেমনটি নীচে দেখানো হয়েছে:

https://oauth2.example.com/code?state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foa2cb.example.com%2FmyHome&code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7&scope=openid%20email%20https://www.googleapis.com/auth/userinfo.email

সার্ভারে, আপনাকে অবশ্যই নিশ্চিত করতে হবে যে Google থেকে প্রাপ্ত state ধাপ 1 এ আপনার তৈরি করা সেশন টোকেনের সাথে মেলে। এই রাউন্ড-ট্রিপ যাচাইকরণ নিশ্চিত করতে সাহায্য করে যে ব্যবহারকারী, একটি দূষিত স্ক্রিপ্ট নয়, অনুরোধটি করছে৷

নিম্নলিখিত কোডটি আপনি ধাপ 1 এ তৈরি করা সেশন টোকেনগুলি নিশ্চিত করে দেখায়:

// Ensure that there is no request forgery going on, and that the user
// sending us this connect request is the user that was supposed to.
if ($request->get('state') != ($app['session']->get('state'))) {
  return new Response('Invalid state parameter', 401);
}

// Ensure that there is no request forgery going on, and that the user
// sending us this connect request is the user that was supposed to.
if (!request.queryParams("state").equals(
    request.session().attribute("state"))) {
  response.status(401);
  return GSON.toJson("Invalid state parameter.");
}

# Ensure that the request is not a forgery and that the user sending
# this connect request is the expected user.
if request.args.get('state', '') != session['state']:
  response = make_response(json.dumps('Invalid state parameter.'), 401)
  response.headers['Content-Type'] = 'application/json'
  return response

4. এক্সচেঞ্জ টোকেন এবং আইডি টোকেনের জন্য code বিনিময় করুন

প্রতিক্রিয়াটিতে একটি code প্যারামিটার, একটি এককালীন অনুমোদনের কোড রয়েছে যা আপনার সার্ভার একটি অ্যাক্সেস টোকেন এবং আইডি টোকেনের জন্য বিনিময় করতে পারে। আপনার সার্ভার একটি HTTPS POST অনুরোধ পাঠিয়ে এই বিনিময় করে। POST অনুরোধটি টোকেন এন্ডপয়েন্টে পাঠানো হয়, যা আপনাকে token_endpoint মেটাডেটা মান ব্যবহার করে ডিসকভারি ডকুমেন্ট থেকে পুনরুদ্ধার করতে হবে। নিম্নোক্ত আলোচনাটি অনুমান করে যে শেষবিন্দু হল https://oauth2.googleapis.com/token । অনুরোধটি POST বডিতে নিম্নলিখিত পরামিতিগুলি অন্তর্ভুক্ত করতে হবে:

প্রকৃত অনুরোধ নিম্নলিখিত উদাহরণের মত দেখতে পারে:

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7&
client_id=your-client-id&
client_secret=your-client-secret&
redirect_uri=https%3A//oauth2.example.com/code&
grant_type=authorization_code

এই অনুরোধের একটি সফল প্রতিক্রিয়া একটি JSON অ্যারেতে নিম্নলিখিত ক্ষেত্রগুলি ধারণ করে:

5. আইডি টোকেন থেকে ব্যবহারকারীর তথ্য পান

একটি আইডি টোকেন হল একটি JWT (JSON ওয়েব টোকেন), অর্থাৎ, একটি ক্রিপ্টোগ্রাফিকভাবে স্বাক্ষরিত বেস64-এনকোডেড JSON অবজেক্ট। সাধারণত, এটি গুরুত্বপূর্ণ যে আপনি একটি আইডি টোকেন ব্যবহার করার আগে যাচাই করে নিন , কিন্তু যেহেতু আপনি একটি মধ্যস্থতামুক্ত HTTPS চ্যানেলের মাধ্যমে Google-এর সাথে সরাসরি যোগাযোগ করছেন এবং Google-এ নিজেকে প্রমাণীকরণ করতে আপনার ক্লায়েন্টের গোপনীয়তা ব্যবহার করছেন, আপনি নিশ্চিত হতে পারেন যে টোকেনটি আপনি প্রাপ্তি সত্যিই Google থেকে আসে এবং বৈধ। যদি আপনার সার্ভার আপনার অ্যাপের অন্যান্য উপাদানে আইডি টোকেন পাস করে, তবে এটি ব্যবহার করার আগে অন্যান্য উপাদানগুলি টোকেনটি যাচাই করা অত্যন্ত গুরুত্বপূর্ণ।

যেহেতু বেশিরভাগ API লাইব্রেরি বেস64url-এনকোড করা মানগুলিকে ডিকোড করার এবং JSON-এর মধ্যে পার্স করার কাজের সাথে বৈধতাকে একত্রিত করে, তাই আপনি আইডি টোকেনের দাবিগুলি অ্যাক্সেস করার সাথে সাথে আপনি সম্ভবত টোকেনটি যাচাই করতে পারবেন।

একটি আইডি টোকেনের পেলোড

একটি আইডি টোকেন হল একটি JSON অবজেক্ট যাতে নাম/মান জোড়ার একটি সেট থাকে। এখানে একটি উদাহরণ, পঠনযোগ্যতার জন্য বিন্যাসিত:

{
  "iss": "https://accounts.google.com",
  "azp": "1234987819200.apps.googleusercontent.com",
  "aud": "1234987819200.apps.googleusercontent.com",
  "sub": "10769150350006150715113082367",
  "at_hash": "HK6E_P6Dh8Y93mRNtsDB1Q",
  "hd": "example.com",
  "email": "jsmith@example.com",
  "email_verified": "true",
  "iat": 1353601026,
  "exp": 1353604926,
  "nonce": "0394852-3190485-2490358"
}

Google আইডি টোকেনগুলিতে নিম্নলিখিত ক্ষেত্রগুলি থাকতে পারে ( দাবি হিসাবে পরিচিত):

6. ব্যবহারকারীকে প্রমাণীকরণ করুন

আইডি টোকেন থেকে ব্যবহারকারীর তথ্য পাওয়ার পর, আপনার অ্যাপের ব্যবহারকারী ডাটাবেস অনুসন্ধান করা উচিত। যদি ব্যবহারকারী আপনার ডাটাবেসে ইতিমধ্যেই বিদ্যমান থাকে, তাহলে আপনার সেই ব্যবহারকারীর জন্য একটি অ্যাপ্লিকেশন সেশন শুরু করা উচিত যদি সমস্ত লগইন প্রয়োজনীয়তা Google API প্রতিক্রিয়া দ্বারা পূরণ করা হয়।

যদি ব্যবহারকারী আপনার ব্যবহারকারী ডাটাবেসে বিদ্যমান না থাকে, তাহলে আপনাকে ব্যবহারকারীকে আপনার নতুন-ব্যবহারকারীর সাইন-আপ প্রবাহে পুনঃনির্দেশ করা উচিত। আপনি Google থেকে প্রাপ্ত তথ্যের উপর ভিত্তি করে ব্যবহারকারীকে স্বয়ংক্রিয়ভাবে নিবন্ধন করতে সক্ষম হতে পারেন, অথবা অন্ততপক্ষে আপনি আপনার নিবন্ধন ফর্মে প্রয়োজনীয় অনেকগুলি ক্ষেত্রকে প্রাক-পপুলেট করতে সক্ষম হতে পারেন৷ আইডি টোকেনের তথ্য ছাড়াও, আপনি আমাদের ব্যবহারকারী প্রোফাইল শেষ পয়েন্টে অতিরিক্ত ব্যবহারকারীর প্রোফাইল তথ্য পেতে পারেন।

উন্নত বিষয়

নিম্নলিখিত বিভাগগুলি আরও বিশদে Google OAuth 2.0 API বর্ণনা করে৷ এই তথ্যটি প্রমাণীকরণ এবং অনুমোদনের বিষয়ে উন্নত প্রয়োজনীয়তাগুলির সাথে বিকাশকারীদের উদ্দেশ্যে।

অন্যান্য Google API-এ অ্যাক্সেস

প্রমাণীকরণের জন্য OAuth 2.0 ব্যবহার করার সুবিধাগুলির মধ্যে একটি হল যে আপনার অ্যাপ্লিকেশন ব্যবহারকারীর পক্ষে (যেমন YouTube, Google ড্রাইভ, ক্যালেন্ডার, বা পরিচিতি) একই সময়ে ব্যবহারকারীকে প্রমাণীকরণ করার জন্য অন্যান্য Google API ব্যবহার করার অনুমতি পেতে পারে৷ এটি করার জন্য, আপনি Google-এ যে প্রমাণীকরণ অনুরোধ পাঠান তাতে আপনার প্রয়োজনীয় অন্যান্য স্কোপগুলি অন্তর্ভুক্ত করুন। উদাহরণস্বরূপ, আপনার প্রমাণীকরণের অনুরোধে ব্যবহারকারীর বয়স গোষ্ঠী যোগ করতে, openid email https://www.googleapis.com/auth/profile.agerange.read । ব্যবহারকারীকে সম্মতি স্ক্রিনে যথাযথভাবে অনুরোধ করা হয়। Google থেকে আপনি যে অ্যাক্সেস টোকেনটি ফেরত পান তা আপনাকে অ্যাক্সেসের সুযোগের সাথে সম্পর্কিত সমস্ত API অ্যাক্সেস করতে দেয় এবং আপনাকে অনুমতি দেওয়া হয়েছিল।

টোকেন রিফ্রেশ করুন

API অ্যাক্সেসের জন্য আপনার অনুরোধে আপনি code বিনিময়ের সময় একটি রিফ্রেশ টোকেন ফেরত দেওয়ার অনুরোধ করতে পারেন। একটি রিফ্রেশ টোকেন আপনার অ্যাপকে Google API-এ ক্রমাগত অ্যাক্সেস প্রদান করে যখন ব্যবহারকারী আপনার অ্যাপ্লিকেশনে উপস্থিত না থাকে। একটি রিফ্রেশ টোকেন অনুরোধ করতে, আপনার প্রমাণীকরণ অনুরোধে access_type প্যারামিটারটি offline সেট করুন।

বিবেচনা:

• রিফ্রেশ টোকেনটি নিরাপদে এবং স্থায়ীভাবে সংরক্ষণ করতে ভুলবেন না, কারণ আপনি কোড এক্সচেঞ্জ ফ্লো করার সময় প্রথমবার একটি রিফ্রেশ টোকেন পেতে পারেন।
• ইস্যু করা রিফ্রেশ টোকেনের সংখ্যার সীমা রয়েছে: প্রতি ক্লায়েন্ট/ব্যবহারকারী সংমিশ্রণে একটি সীমা এবং সমস্ত ক্লায়েন্ট জুড়ে ব্যবহারকারী প্রতি আরেকটি। আপনার অ্যাপ্লিকেশন যদি অনেকগুলি রিফ্রেশ টোকেনের অনুরোধ করে, তবে এটি এই সীমার মধ্যে চলে যেতে পারে, এই ক্ষেত্রে পুরানো রিফ্রেশ টোকেনগুলি কাজ করা বন্ধ করে দেয়।

আরও তথ্যের জন্য, একটি অ্যাক্সেস টোকেন রিফ্রেশ করা (অফলাইন অ্যাক্সেস) দেখুন।

পুনরায় সম্মতি দেওয়ার জন্য অনুরোধ করা হচ্ছে

আপনি আপনার প্রমাণীকরণের অনুরোধে consent জন্য prompt প্যারামিটার সেট করে আপনার অ্যাপকে পুনরায় অনুমোদন করার জন্য ব্যবহারকারীকে অনুরোধ করতে পারেন। যখন prompt=consent অন্তর্ভুক্ত করা হয়, আপনার অ্যাপ্লিকেশান যখনই অ্যাক্সেসের সুযোগের অনুমোদনের অনুরোধ করে তখন সম্মতি স্ক্রীনটি প্রদর্শিত হয়, এমনকি সমস্ত স্কোপ আপনার Google API প্রকল্পে পূর্বে দেওয়া হলেও। এই কারণে, প্রয়োজন হলেই prompt=consent অন্তর্ভুক্ত করুন।

prompt প্যারামিটার সম্পর্কে আরও জানতে, প্রমাণীকরণ URI পরামিতি টেবিলে prompt দেখুন।

প্রমাণীকরণ URI পরামিতি

নিম্নলিখিত টেবিলটি Google এর OAuth 2.0 প্রমাণীকরণ API দ্বারা গৃহীত পরামিতিগুলির আরও সম্পূর্ণ বিবরণ দেয়৷

একটি আইডি টোকেন যাচাই করা হচ্ছে

আপনি আপনার সার্ভারে সমস্ত আইডি টোকেন যাচাই করতে হবে যদি না আপনি জানেন যে সেগুলি সরাসরি Google থেকে এসেছে। উদাহরণ স্বরূপ, আপনার ক্লায়েন্ট অ্যাপস থেকে আপনার সার্ভারকে অবশ্যই প্রামাণিক আইডি টোকেনগুলিকে যাচাই করতে হবে।

নিম্নলিখিত সাধারণ পরিস্থিতি যেখানে আপনি আপনার সার্ভারে আইডি টোকেন পাঠাতে পারেন:

• অনুরোধের সাথে আইডি টোকেন পাঠানো হচ্ছে যা প্রমাণীকরণ করা দরকার। আইডি টোকেন আপনাকে বলে যে নির্দিষ্ট ব্যবহারকারী অনুরোধ করছেন এবং কোন ক্লায়েন্টের জন্য সেই আইডি টোকেনটি দেওয়া হয়েছিল।

আইডি টোকেন সংবেদনশীল এবং বাধা দিলে অপব্যবহার করা যেতে পারে। আপনাকে অবশ্যই নিশ্চিত করতে হবে যে এই টোকেনগুলিকে শুধুমাত্র HTTPS এর মাধ্যমে এবং শুধুমাত্র POST ডেটার মাধ্যমে বা অনুরোধ শিরোনামের মধ্যে প্রেরণ করে নিরাপদে পরিচালনা করা হয়েছে। আপনি যদি আপনার সার্ভারে আইডি টোকেনগুলি সঞ্চয় করেন তবে আপনাকে অবশ্যই সেগুলি নিরাপদে সংরক্ষণ করতে হবে৷

একটি জিনিস যা আইডি টোকেনগুলিকে উপযোগী করে তোলে তা হল যে আপনি এগুলিকে আপনার অ্যাপের বিভিন্ন উপাদানের চারপাশে পাস করতে পারেন৷ এই উপাদানগুলি একটি আইডি টোকেন ব্যবহার করতে পারে একটি হালকা ওজনের প্রমাণীকরণ প্রক্রিয়া হিসাবে অ্যাপ এবং ব্যবহারকারীকে প্রমাণীকরণ করে৷ কিন্তু আপনি আইডি টোকেনের তথ্য ব্যবহার করার আগে বা ব্যবহারকারীর প্রমাণীকরণের দাবি হিসাবে এটির উপর নির্ভর করার আগে, আপনাকে অবশ্যই এটি যাচাই করতে হবে।

একটি আইডি টোকেনের বৈধতার জন্য কয়েকটি পদক্ষেপের প্রয়োজন:

1. আইডি টোকেনটি ইস্যুকারীর দ্বারা সঠিকভাবে স্বাক্ষরিত কিনা তা যাচাই করুন। ডিসকভারি ডকুমেন্টের jwks_uri মেটাডেটা মানতে নির্দিষ্ট করা URI-তে পাওয়া সার্টিফিকেটগুলির একটি ব্যবহার করে Google-এর ইস্যু করা টোকেনগুলি স্বাক্ষর করা হয়।
2. যাচাই করুন যে আইডি টোকেনে iss দাবির মান https://accounts.google.com বা accounts.google.com এর সমান।
3. যাচাই করুন যে আইডি টোকেনে aud দাবির মান আপনার অ্যাপের ক্লায়েন্ট আইডির সমান।
4. যাচাই করুন যে আইডি টোকেনের মেয়াদ শেষ হওয়ার সময় ( exp ক্লেম) পাস হয়নি।
5. আপনি অনুরোধে একটি hd প্যারামিটার মান উল্লেখ করলে, যাচাই করুন যে ID টোকেনে একটি hd দাবি রয়েছে যা Google ক্লাউড সংস্থার সাথে যুক্ত একটি স্বীকৃত ডোমেনের সাথে মেলে।

ধাপ 2 থেকে 5 শুধুমাত্র স্ট্রিং এবং তারিখ তুলনা জড়িত যা বেশ সহজবোধ্য, তাই আমরা সেগুলি এখানে বিস্তারিত করব না।

প্রথম ধাপটি আরও জটিল, এবং এতে ক্রিপ্টোগ্রাফিক স্বাক্ষর পরীক্ষা করা জড়িত। ডিবাগিংয়ের উদ্দেশ্যে, আপনি আপনার সার্ভার বা ডিভাইসে প্রয়োগ করা স্থানীয় প্রক্রিয়াকরণের সাথে তুলনা করতে Google-এর tokeninfo এন্ডপয়েন্ট ব্যবহার করতে পারেন। ধরুন আপনার আইডি টোকেনের মান হল XYZ123 । তারপরে আপনি URI-কে ডিরেফার করবেন https://oauth2.googleapis.com/tokeninfo?id_token= XYZ123 । যদি টোকেন স্বাক্ষরটি বৈধ হয়, তাহলে প্রতিক্রিয়াটি তার ডিকোড করা JSON অবজেক্ট ফর্মে JWT পেলোড হবে।

tokeninfo এন্ডপয়েন্ট ডিবাগিংয়ের জন্য উপযোগী কিন্তু উৎপাদনের উদ্দেশ্যে, কী এন্ডপয়েন্ট থেকে Google এর পাবলিক কীগুলি পুনরুদ্ধার করুন এবং স্থানীয়ভাবে বৈধতা সম্পাদন করুন। আপনি jwks_uri মেটাডেটা মান ব্যবহার করে ডিসকভারি ডকুমেন্ট থেকে URI কীগুলি পুনরুদ্ধার করতে হবে। ডিবাগিং এন্ডপয়েন্টের অনুরোধগুলি থ্রোটল করা হতে পারে বা অন্যথায় মাঝে মাঝে ত্রুটির বিষয় হতে পারে।

যেহেতু Google তার সর্বজনীন কীগুলি কেবল কদাচিৎ পরিবর্তন করে, তাই আপনি HTTP প্রতিক্রিয়ার ক্যাশে নির্দেশাবলী ব্যবহার করে সেগুলিকে ক্যাশে করতে পারেন এবং বেশিরভাগ ক্ষেত্রেই tokeninfo এন্ডপয়েন্ট ব্যবহার করার চেয়ে অনেক বেশি দক্ষতার সাথে স্থানীয় বৈধতা সম্পাদন করতে পারেন৷ এই বৈধতার জন্য শংসাপত্রগুলি পুনরুদ্ধার করা এবং পার্স করা এবং স্বাক্ষর পরীক্ষা করার জন্য উপযুক্ত ক্রিপ্টোগ্রাফিক কল করা প্রয়োজন৷ সৌভাগ্যবশত, এটি সম্পন্ন করার জন্য বিভিন্ন ভাষায় সু-ডিবাগ করা লাইব্রেরি রয়েছে (দেখুন jwt.io )।

ব্যবহারকারী প্রোফাইল তথ্য প্রাপ্তি

ব্যবহারকারী সম্পর্কে অতিরিক্ত প্রোফাইল তথ্য পেতে, আপনি অ্যাক্সেস টোকেন ব্যবহার করতে পারেন (যা আপনার অ্যাপ্লিকেশন প্রমাণীকরণ প্রবাহের সময় পায়) এবং OpenID Connect মান:

1. OpenID-এর সাথে সঙ্গতিপূর্ণ হতে, আপনাকে অবশ্যই আপনার প্রমাণীকরণ অনুরোধে openid profile স্কোপের মান অন্তর্ভুক্ত করতে হবে।

   আপনি যদি ব্যবহারকারীর ইমেল ঠিকানা অন্তর্ভুক্ত করতে চান, আপনি email একটি অতিরিক্ত সুযোগ মান নির্দিষ্ট করতে পারেন। profile এবং email উভয়ই নির্দিষ্ট করতে, আপনি আপনার প্রমাণীকরণ অনুরোধ URI-তে নিম্নলিখিত প্যারামিটার অন্তর্ভুক্ত করতে পারেন:

   scope=openid%20profile%20email

2. অনুমোদন শিরোনামে আপনার অ্যাক্সেস টোকেন যোগ করুন এবং userinfo এন্ডপয়েন্টে একটি HTTPS GET অনুরোধ করুন, যা userinfo_endpoint মেটাডেটা মান ব্যবহার করে আপনার আবিষ্কার নথি থেকে পুনরুদ্ধার করা উচিত। ব্যবহারকারীর তথ্যের প্রতিক্রিয়াতে ব্যবহারকারী সম্পর্কে তথ্য অন্তর্ভুক্ত রয়েছে, যেমন OpenID Connect Standard Claims এবং আবিষ্কার নথির claims_supported মেটাডেটা মান বর্ণনা করা হয়েছে। ব্যবহারকারী বা তাদের সংস্থাগুলি নির্দিষ্ট ক্ষেত্র সরবরাহ বা আটকে রাখা বেছে নিতে পারে, তাই আপনি আপনার অনুমোদিত সুযোগের অ্যাক্সেসের জন্য প্রতিটি ক্ষেত্রের জন্য তথ্য নাও পেতে পারেন।

আবিষ্কার নথি

OpenID কানেক্ট প্রোটোকল ব্যবহারকারীদের প্রমাণীকরণের জন্য এবং টোকেন, ব্যবহারকারীর তথ্য এবং পাবলিক কী সহ রিসোর্স অনুরোধ করার জন্য একাধিক এন্ডপয়েন্ট ব্যবহার করতে হবে।

বাস্তবায়নকে সহজ করতে এবং নমনীয়তা বাড়াতে, OpenID Connect একটি "ডিসকভারি ডকুমেন্ট" ব্যবহারের অনুমতি দেয়, একটি JSON ডকুমেন্ট যা একটি পরিচিত স্থানে পাওয়া যায় যেখানে মূল-মান জোড়া রয়েছে যা অনুমোদনের URI সহ OpenID Connect প্রদানকারীর কনফিগারেশন সম্পর্কে বিশদ প্রদান করে। , টোকেন, প্রত্যাহার, ব্যবহারকারীর তথ্য, এবং সর্বজনীন-কী শেষ পয়েন্ট। Google-এর OpenID Connect পরিষেবার জন্য আবিষ্কারের নথি এখান থেকে পুনরুদ্ধার করা যেতে পারে:

https://accounts.google.com/.well-known/openid-configuration

Google-এর OpenID Connect পরিষেবাগুলি ব্যবহার করার জন্য, আপনাকে আপনার অ্যাপ্লিকেশনে Discovery-document URI ( https://accounts.google.com/.well-known/openid-configuration ) হার্ড-কোড করতে হবে৷ আপনার অ্যাপ্লিকেশনটি নথিটি নিয়ে আসে, প্রতিক্রিয়াতে ক্যাশিং নিয়ম প্রয়োগ করে, তারপর প্রয়োজন অনুসারে এটি থেকে শেষ পয়েন্ট URIগুলি পুনরুদ্ধার করে। উদাহরণস্বরূপ, একজন ব্যবহারকারীকে প্রমাণীকরণ করার জন্য, আপনার কোড অনুমোদনের অনুরোধের জন্য ভিত্তি URI হিসাবে authorization_endpoint মেটাডেটা মান (নিচের উদাহরণে https://accounts.google.com/o/oauth2/v2/auth ) পুনরুদ্ধার করবে গুগল

এখানে এই ধরনের একটি নথির একটি উদাহরণ; ক্ষেত্রের নামগুলি OpenID Connect Discovery 1.0 -এ নির্দিষ্ট করা হয়েছে (তাদের অর্থের জন্য সেই নথিটি পড়ুন)। মানগুলি সম্পূর্ণরূপে দৃষ্টান্তমূলক এবং পরিবর্তিত হতে পারে, যদিও সেগুলি প্রকৃত Google আবিষ্কার নথির একটি সাম্প্রতিক সংস্করণ থেকে অনুলিপি করা হয়েছে:

{
  "issuer": "https://accounts.google.com",
  "authorization_endpoint": "https://accounts.google.com/o/oauth2/v2/auth",
  "device_authorization_endpoint": "https://oauth2.googleapis.com/device/code",
  "token_endpoint": "https://oauth2.googleapis.com/token",
  "userinfo_endpoint": "https://openidconnect.googleapis.com/v1/userinfo",
  "revocation_endpoint": "https://oauth2.googleapis.com/revoke",
  "jwks_uri": "https://www.googleapis.com/oauth2/v3/certs",
  "response_types_supported": [
    "code",
    "token",
    "id_token",
    "code token",
    "code id_token",
    "token id_token",
    "code token id_token",
    "none"
  ],
  "subject_types_supported": [
    "public"
  ],
  "id_token_signing_alg_values_supported": [
    "RS256"
  ],
  "scopes_supported": [
    "openid",
    "email",
    "profile"
  ],
  "token_endpoint_auth_methods_supported": [
    "client_secret_post",
    "client_secret_basic"
  ],
  "claims_supported": [
    "aud",
    "email",
    "email_verified",
    "exp",
    "family_name",
    "given_name",
    "iat",
    "iss",
    "locale",
    "name",
    "picture",
    "sub"
  ],
  "code_challenge_methods_supported": [
    "plain",
    "S256"
  ]
}

আপনি ডিসকভারি ডকুমেন্ট থেকে মান ক্যাশে করে একটি HTTP রাউন্ড-ট্রিপ এড়াতে সক্ষম হতে পারেন। স্ট্যান্ডার্ড HTTP ক্যাশিং হেডার ব্যবহার করা হয় এবং সম্মান করা উচিত।

ক্লায়েন্ট লাইব্রেরি

নিম্নলিখিত ক্লায়েন্ট লাইব্রেরিগুলি জনপ্রিয় ফ্রেমওয়ার্কগুলির সাথে একীভূত হয়ে OAuth 2.0 বাস্তবায়নকে সহজ করে তোলে:

• জাভার জন্য Google APIs ক্লায়েন্ট লাইব্রেরি
• পাইথনের জন্য Google APIs ক্লায়েন্ট লাইব্রেরি
• .NET-এর জন্য Google APIs ক্লায়েন্ট লাইব্রেরি
• রুবির জন্য Google APIs ক্লায়েন্ট লাইব্রেরি
• PHP-এর জন্য Google APIs ক্লায়েন্ট লাইব্রেরি
• Google ওয়েব টুলকিটের জন্য OAuth 2.0 লাইব্রেরি
• Mac OAuth 2.0 কন্ট্রোলারের জন্য Google টুলবক্স

OpenID Connect সম্মতি

Google এর OAuth 2.0 প্রমাণীকরণ সিস্টেম OpenID কানেক্ট কোর স্পেসিফিকেশনের প্রয়োজনীয় বৈশিষ্ট্যগুলিকে সমর্থন করে৷ OpenID Connect-এর সাথে কাজ করার জন্য ডিজাইন করা যেকোন ক্লায়েন্টকে এই পরিষেবার সাথে ইন্টারঅপারেটিং করা উচিত ( OpenID Request Object বাদ দিয়ে)।

Google এর OAuth 2.0 API প্রমাণীকরণ এবং অনুমোদন উভয়ের জন্য ব্যবহার করা যেতে পারে। এই নথিটি প্রমাণীকরণের জন্য আমাদের OAuth 2.0 বাস্তবায়নের বর্ণনা করে, যা OpenID Connect স্পেসিফিকেশনের সাথে সামঞ্জস্যপূর্ণ এবং OpenID সার্টিফাইড । গুগল এপিআইগুলিতে অ্যাক্সেস করতে OAuth 2.0 ব্যবহার করে প্রাপ্ত ডকুমেন্টেশনগুলিও এই পরিষেবাটিতে প্রযোজ্য। আপনি যদি এই প্রোটোকলটি ইন্টারেক্টিভভাবে অন্বেষণ করতে চান তবে আমরা গুগল ওএউথ 2.0 খেলার মাঠের প্রস্তাব দিই। স্ট্যাক ওভারফ্লোতে সহায়তা পেতে, আপনার প্রশ্নগুলি 'গুগল-ওআউথ' দিয়ে ট্যাগ করুন।

OAuth 2.0 সেট আপ করা হচ্ছে

আপনার অ্যাপ্লিকেশনটি ব্যবহারকারী লগইনের জন্য গুগলের OAuth 2.0 প্রমাণীকরণ সিস্টেম ব্যবহার করার আগে আপনাকে অবশ্যই একটি প্রকল্প সেট আপ করতে হবে OAuth 2.0 শংসাপত্রগুলি পেতে, একটি পুনর্নির্দেশের ইউআরআই সেট করুন এবং (ally চ্ছিকভাবে) আপনার ব্যবহারকারীরা ব্যবহারকারী-সম্মতিযুক্ত স্ক্রিনে যে ব্র্যান্ডিং তথ্য দেখেন তা কাস্টমাইজ করুন। এছাড়াও আপনি ব্যবহার করতে পারেন একটি পরিষেবা অ্যাকাউন্ট তৈরি করতে, বিলিং সক্ষম করুন, ফিল্টারিং সেট আপ করুন এবং অন্যান্য কাজগুলি করুন। আরো বিস্তারিত জানার জন্য, দেখুন সাহায্য

OAuth 2.0 শংসাপত্রগুলি পান৷

ব্যবহারকারীদের প্রমাণীকরণ করতে এবং গুগলের এপিআইগুলিতে অ্যাক্সেস পেতে আপনার ক্লায়েন্ট আইডি এবং ক্লায়েন্ট সিক্রেট সহ OAuth 2.0 শংসাপত্রগুলি দরকার।

প্রদত্ত OAuth 2.0 শংসাপত্রের জন্য ক্লায়েন্ট আইডি এবং ক্লায়েন্টের গোপনীয়তা দেখতে, নিম্নলিখিত পাঠ্যটিতে ক্লিক করুন : শংসাপত্র নির্বাচন করুন । উইন্ডোটি খোলে, আপনার প্রকল্প এবং আপনি যে শংসাপত্র চান তা চয়ন করুন, তারপরে দেখুন ক্লিক করুন।

অথবা, API Console এ শংসাপত্র পৃষ্ঠা থেকে আপনার ক্লায়েন্ট আইডি এবং ক্লায়েন্টের গোপনীয়তা দেখুন:

1. Go to the Credentials page.
2. আপনার শংসাপত্রের নাম বা পেন্সিল ( create ) আইকনটি ক্লিক করুন। আপনার ক্লায়েন্ট আইডি এবং গোপন পৃষ্ঠার শীর্ষে আছে।

একটি পুনঃনির্দেশ ইউআরআই সেট করুন

আপনি যে পুনঃনির্দেশিত ইউআরআই সেট করেছেন গুগল কোথায় আপনার প্রমাণীকরণের অনুরোধগুলিতে প্রতিক্রিয়া প্রেরণ করে তা নির্ধারণ করে।

প্রদত্ত OAuth 2.0 শংসাপত্রের জন্য পুনঃনির্দেশিত ইউআরআইগুলি তৈরি করতে, দেখতে বা সম্পাদনা করতে নিম্নলিখিতটি করুন:

1. Go to the Credentials page.
2. পৃষ্ঠার OAuth 2.0 ক্লায়েন্ট আইডি বিভাগে, একটি শংসাপত্র ক্লিক করুন।
3. পুনঃনির্দেশিত ইউআরআইগুলি দেখুন বা সম্পাদনা করুন।

শংসাপত্র পৃষ্ঠায় যদি কোনও OAuth 2.0 ক্লায়েন্ট আইডি বিভাগ না থাকে, তবে আপনার প্রকল্পের কোনও OAuth শংসাপত্র নেই। একটি তৈরি করতে, শংসাপত্র তৈরি করুন ক্লিক করুন ।

ব্যবহারকারীর সম্মতি স্ক্রিনটি কাস্টমাইজ করুন

আপনার ব্যবহারকারীদের জন্য, OAuth 2.0 প্রমাণীকরণের অভিজ্ঞতায় একটি সম্মতি স্ক্রিন অন্তর্ভুক্ত রয়েছে যা ব্যবহারকারী যে তথ্য প্রকাশ করছে এবং প্রযোজ্য শর্তাদি বর্ণনা করে। উদাহরণস্বরূপ, যখন ব্যবহারকারী লগ ইন করে, তাদের আপনার অ্যাপটিকে তাদের ইমেল ঠিকানা এবং বেসিক অ্যাকাউন্টের তথ্য অ্যাক্সেস দিতে বলা হতে পারে। আপনি scope প্যারামিটারটি ব্যবহার করে এই তথ্যে অ্যাক্সেসের জন্য অনুরোধ করছেন, যা আপনার অ্যাপ্লিকেশনটির প্রমাণীকরণের অনুরোধে অন্তর্ভুক্ত রয়েছে। অন্যান্য গুগল এপিআইগুলিতে অ্যাক্সেসের জন্য অনুরোধ করতে আপনি স্কোপগুলিও ব্যবহার করতে পারেন।

ব্যবহারকারীর সম্মতি স্ক্রিনটি আপনার পণ্যের নাম, লোগো এবং একটি হোমপেজ ইউআরএল এর মতো ব্র্যান্ডিং তথ্যও উপস্থাপন করে। আপনি ব্র্যান্ডিং তথ্য নিয়ন্ত্রণ করুন .

আপনার প্রকল্পের সম্মতি পর্দা সক্ষম করতে:

1. খুলুন Consent Screen page মধ্যে Google API Console ।
2. If prompted, select a project, or create a new one.
3. ফর্মটি পূরণ করুন এবং সংরক্ষণ করুন ক্লিক করুন ।

নিম্নলিখিত সম্মতি সংলাপটি দেখায় যে কোনও ব্যবহারকারী যখন ওএউথ 2.0 এবং গুগল ড্রাইভ স্কোপগুলির সংমিশ্রণটি অনুরোধে উপস্থিত থাকে তখন কী দেখতে পাবে। (এই জেনেরিক ডায়ালগটি গুগল ওএউথ ২.০ খেলার মাঠ ব্যবহার করে তৈরি করা হয়েছিল, সুতরাং এতে ব্র্যান্ডিং তথ্য অন্তর্ভুক্ত নয় যা সেট করা হবে .)

পরিষেবা অ্যাক্সেস করা

গুগল এবং তৃতীয় পক্ষগুলি এমন লাইব্রেরি সরবরাহ করে যা আপনি প্রমাণীকরণকারী ব্যবহারকারীদের অনেকগুলি বাস্তবায়নের বিশদ যত্ন নিতে এবং গুগল এপিআইগুলিতে অ্যাক্সেস অর্জন করতে ব্যবহার করতে পারেন। উদাহরণগুলির মধ্যে রয়েছে গুগল আইডেন্টিটি পরিষেবা এবং গুগল ক্লায়েন্ট লাইব্রেরি , যা বিভিন্ন প্ল্যাটফর্মের জন্য উপলব্ধ।

আপনি যদি কোনও লাইব্রেরি ব্যবহার না করা বেছে নেন, তবে এই দস্তাবেজের বাকী অংশগুলির নির্দেশাবলী অনুসরণ করুন, যা এইচটিটিপি অনুরোধ প্রবাহকে বর্ণনা করে যা উপলব্ধ গ্রন্থাগারগুলির অন্তর্নিহিত।

ব্যবহারকারী প্রমাণীকরণ

ব্যবহারকারীকে প্রমাণীকরণে একটি আইডি টোকেন প্রাপ্ত এবং এটি বৈধকরণ জড়িত। আইডি টোকেনগুলি ইন্টারনেটে পরিচয় দাবীগুলি ভাগ করে নেওয়ার জন্য ব্যবহারের জন্য ডিজাইন করা ওপেনআইডি সংযোগের একটি মানক বৈশিষ্ট্য।

কোনও ব্যবহারকারীকে প্রমাণীকরণ এবং আইডি টোকেন পাওয়ার জন্য সর্বাধিক ব্যবহৃত পদ্ধতির "সার্ভার" প্রবাহ এবং "অন্তর্নিহিত" প্রবাহকে বলা হয়। সার্ভার প্রবাহটি কোনও অ্যাপ্লিকেশনটির ব্যাক-এন্ড সার্ভারকে ব্রাউজার বা মোবাইল ডিভাইস ব্যবহার করে ব্যক্তির পরিচয় যাচাই করতে অনুমতি দেয়। যখন ক্লায়েন্ট-সাইড অ্যাপ্লিকেশন (সাধারণত ব্রাউজারে চলমান একটি জাভাস্ক্রিপ্ট অ্যাপ)) এর ব্যাক-এন্ড সার্ভারের মাধ্যমে সরাসরি এপিআই অ্যাক্সেস করতে হয় তখন অন্তর্নিহিত প্রবাহটি ব্যবহৃত হয়।

এই দস্তাবেজটি ব্যবহারকারীকে প্রমাণীকরণের জন্য কীভাবে সার্ভার প্রবাহ সম্পাদন করবেন তা বর্ণনা করে। ক্লায়েন্টের দিকে টোকেনগুলি পরিচালনা করতে এবং ব্যবহার করার ক্ষেত্রে সুরক্ষা ঝুঁকির কারণে অন্তর্নিহিত প্রবাহটি উল্লেখযোগ্যভাবে আরও জটিল। আপনার যদি একটি অন্তর্নিহিত প্রবাহ বাস্তবায়নের প্রয়োজন হয় তবে আমরা গুগল আইডেন্টিটি পরিষেবাগুলি ব্যবহার করার পরামর্শ দিই।

সার্ভার প্রবাহ

নিশ্চিত হয়ে নিন যে আপনি আপনার অ্যাপটি সেট আপ করেছেন এটি এই প্রোটোকলগুলি ব্যবহার করতে এবং আপনার ব্যবহারকারীদের প্রমাণীকরণ করতে সক্ষম করতে। যখন কোনও ব্যবহারকারী গুগলের সাথে লগ ইন করার চেষ্টা করে, আপনার দরকার:

1. একটি বিরোধী-বিরোধী রাষ্ট্র টোকেন তৈরি করুন
2. গুগলে একটি প্রমাণীকরণের অনুরোধ প্রেরণ করুন
3. অ্যান্টি-ফোরজিআরজি স্টেট টোকেনটি নিশ্চিত করুন
4. অ্যাক্সেস টোকেন এবং আইডি টোকেনের জন্য এক্সচেঞ্জ code
5. আইডি টোকেন থেকে ব্যবহারকারীর তথ্য পান
6. ব্যবহারকারী প্রমাণীকরণ

1। একটি অ্যান্টি-ফোরজিরি স্টেট টোকেন তৈরি করুন

অনুরোধ জালিয়াতি আক্রমণ প্রতিরোধ করে আপনাকে অবশ্যই আপনার ব্যবহারকারীদের সুরক্ষা রক্ষা করতে হবে। প্রথম পদক্ষেপটি একটি অনন্য সেশন টোকেন তৈরি করছে যা আপনার অ্যাপ্লিকেশন এবং ব্যবহারকারীর ক্লায়েন্টের মধ্যে রাজ্য ধারণ করে। আপনি পরে এই অনন্য সেশন টোকেনের সাথে মেলে গুগল ওআউথ লগইন পরিষেবা দ্বারা ফিরে আসা প্রমাণীকরণের প্রতিক্রিয়াটির সাথে ব্যবহারকারী অনুরোধটি করছেন এবং কোনও দূষিত আক্রমণকারী নয়। এই টোকেনগুলি প্রায়শই ক্রস-সাইট রিকোয়েস্ট ফোরজি ( সিএসআরএফ ) টোকেন হিসাবে উল্লেখ করা হয়।

একটি স্টেট টোকেনের জন্য একটি ভাল পছন্দ হ'ল উচ্চমানের এলোমেলো-সংখ্যা জেনারেটর ব্যবহার করে নির্মিত 30 বা তার বেশি অক্ষরের একটি স্ট্রিং। আরেকটি হ'ল একটি হ্যাশ যা আপনার সেশন স্টেট ভেরিয়েবলগুলিকে একটি কী দিয়ে স্বাক্ষর করে উত্পন্ন হয় যা আপনার ব্যাক-এন্ডে গোপন রাখা হয়।

নিম্নলিখিত কোডটি অনন্য সেশন টোকেন উত্পন্ন করে প্রদর্শন করে।

// Create a state token to prevent request forgery.
// Store it in the session for later validation.
$state = bin2hex(random_bytes(128/8));
$app['session']->set('state', $state);
// Set the client ID, token state, and application name in the HTML while
// serving it.
return $app['twig']->render('index.html', array(
    'CLIENT_ID' => CLIENT_ID,
    'STATE' => $state,
    'APPLICATION_NAME' => APPLICATION_NAME
));

// Create a state token to prevent request forgery.
// Store it in the session for later validation.
String state = new BigInteger(130, new SecureRandom()).toString(32);
request.session().attribute("state", state);
// Read index.html into memory, and set the client ID,
// token state, and application name in the HTML before serving it.
return new Scanner(new File("index.html"), "UTF-8")
    .useDelimiter("\\A").next()
    .replaceAll("[{]{2}\\s*CLIENT_ID\\s*[}]{2}", CLIENT_ID)
    .replaceAll("[{]{2}\\s*STATE\\s*[}]{2}", state)
    .replaceAll("[{]{2}\\s*APPLICATION_NAME\\s*[}]{2}",
    APPLICATION_NAME);

# Create a state token to prevent request forgery.
# Store it in the session for later validation.
state = hashlib.sha256(os.urandom(1024)).hexdigest()
session['state'] = state
# Set the client ID, token state, and application name in the HTML while
# serving it.
response = make_response(
    render_template('index.html',
                    CLIENT_ID=CLIENT_ID,
                    STATE=state,
                    APPLICATION_NAME=APPLICATION_NAME))

2। গুগলে একটি প্রমাণীকরণের অনুরোধ প্রেরণ করুন

পরবর্তী পদক্ষেপটি উপযুক্ত ইউআরআই প্যারামিটারগুলির সাথে একটি এইচটিটিপিএস GET অনুরোধ গঠন করছে। এই প্রক্রিয়াটির সমস্ত পদক্ষেপে এইচটিটিপি -র পরিবর্তে এইচটিটিপিএসের ব্যবহার নোট করুন; এইচটিটিপি সংযোগগুলি প্রত্যাখ্যান করা হয়েছে। authorization_endpoint মেটাডেটা মান ব্যবহার করে আপনার আবিষ্কারের ডকুমেন্ট থেকে বেস ইউআরআই পুনরুদ্ধার করা উচিত। নিম্নলিখিত আলোচনাটি অনুমান করে যে বেস ইউআরআই হ'ল https://accounts.google.com/o/oauth2/v2/auth ।

একটি প্রাথমিক অনুরোধের জন্য, নিম্নলিখিত পরামিতিগুলি নির্দিষ্ট করুন:

• client_id , যা আপনি থেকে প্রাপ্ত .
• response_type , যা একটি মৌলিক অনুমোদনের কোড প্রবাহের অনুরোধে code হওয়া উচিত। ( response_type এ আরও পড়ুন।)
• scope , যা একটি প্রাথমিক অনুরোধে openid email হওয়া উচিত। ( scope আরও পড়ুন।)
• redirect_uri আপনার সার্ভারে HTTP শেষ পয়েন্ট হওয়া উচিত যা গুগল থেকে প্রতিক্রিয়া গ্রহণ করবে। মানটি অবশ্যই ওএউথ 2.0 ক্লায়েন্টের জন্য অনুমোদিত পুনঃনির্দেশ ইউআরআইগুলির একটির সাথে মেলে, যা আপনি কনফিগার করেছেন Credentials page. যদি এই মানটি কোনও অনুমোদিত ইউআরআইয়ের সাথে মেলে না, তবে অনুরোধটি redirect_uri_mismatch ত্রুটির সাথে ব্যর্থ হবে।
• state অ্যান্টি-ফোরজারি অনন্য সেশন টোকেনের মান অন্তর্ভুক্ত করা উচিত, পাশাপাশি ব্যবহারকারী যখন আপনার অ্যাপ্লিকেশনটিতে ফিরে আসে তখন প্রসঙ্গটি পুনরুদ্ধার করার জন্য প্রয়োজনীয় যে কোনও তথ্য অন্তর্ভুক্ত করা উচিত, যেমন, শুরু ইউআরএল। ( state আরও পড়ুন।)
• nonce আপনার অ্যাপ্লিকেশন দ্বারা উত্পাদিত একটি এলোমেলো মান যা উপস্থিত থাকলে পুনরায় খেলতে সক্ষম করে।
• login_hint ব্যবহারকারীর ইমেল ঠিকানা বা sub স্ট্রিং হতে পারে, যা ব্যবহারকারীর গুগল আইডির সমতুল্য। আপনি যদি কোনও login_hint সরবরাহ না করেন এবং ব্যবহারকারী বর্তমানে লগ ইন হয়ে থাকেন তবে সম্মতি স্ক্রিনে আপনার অ্যাপ্লিকেশনটিতে ব্যবহারকারীর ইমেল ঠিকানা প্রকাশের জন্য অনুমোদনের জন্য একটি অনুরোধ অন্তর্ভুক্ত রয়েছে। ( login_hint আরও পড়ুন।)
• গুগল ওয়ার্কস্পেস বা ক্লাউড সংস্থার সাথে সম্পর্কিত কোনও নির্দিষ্ট ডোমেনের ব্যবহারকারীদের জন্য ওপেনআইডি সংযোগ প্রবাহকে অনুকূল করতে hd প্যারামিটারটি ব্যবহার করুন ( hd তে আরও পড়ুন)।

পাঠকের জন্য লাইন ব্রেক এবং স্পেস সহ একটি সম্পূর্ণ ওপেনআইডি সংযোগ প্রমাণীকরণ ইউআরআইয়ের উদাহরণ এখানে রয়েছে:

https://accounts.google.com/o/oauth2/v2/auth?
 response_type=code&
 client_id=424911365001.apps.googleusercontent.com&
 scope=openid%20email&
 redirect_uri=https%3A//oauth2.example.com/code&
 state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foauth2-login-demo.example.com%2FmyHome&
 login_hint=jsmith@example.com&
 nonce=0394852-3190485-2490358&
 hd=example.com

ব্যবহারকারীদের যদি আপনার অ্যাপ্লিকেশনটি তাদের সম্পর্কে কোনও নতুন তথ্যের জন্য অনুরোধ করে বা আপনার অ্যাপ্লিকেশনটি অ্যাকাউন্ট অ্যাক্সেসের অনুরোধ করে তবে তারা সম্মতি দিতে হবে যা তারা পূর্বে অনুমোদিত হয়নি।

3।-ফোরিজারি স্টেট টোকেন নিশ্চিত করুন

আপনি অনুরোধে নির্দিষ্ট করেছেন এমন redirect_uri প্রতিক্রিয়া প্রেরণ করা হয়। সমস্ত প্রতিক্রিয়া ক্যোয়ারী স্ট্রিংয়ে ফিরে আসে, যেমন নীচে দেখানো হয়েছে:

https://oauth2.example.com/code?state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foa2cb.example.com%2FmyHome&code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7&scope=openid%20email%20https://www.googleapis.com/auth/userinfo.email

সার্ভারে, আপনাকে অবশ্যই নিশ্চিত করতে হবে যে গুগল থেকে প্রাপ্ত state আপনার সেশন টোকেনের সাথে মেলে পদক্ষেপ 1 এ তৈরি করেছে। এই রাউন্ড-ট্রিপ যাচাইকরণটি নিশ্চিত করতে সহায়তা করে যে ব্যবহারকারী কোনও দূষিত স্ক্রিপ্ট নয়, অনুরোধটি করছে।

নিম্নলিখিত কোডটি আপনি পদক্ষেপ 1 এ তৈরি করেছেন এমন সেশন টোকেনগুলি নিশ্চিত করে প্রদর্শন করে:

// Ensure that there is no request forgery going on, and that the user
// sending us this connect request is the user that was supposed to.
if ($request->get('state') != ($app['session']->get('state'))) {
  return new Response('Invalid state parameter', 401);
}

// Ensure that there is no request forgery going on, and that the user
// sending us this connect request is the user that was supposed to.
if (!request.queryParams("state").equals(
    request.session().attribute("state"))) {
  response.status(401);
  return GSON.toJson("Invalid state parameter.");
}

# Ensure that the request is not a forgery and that the user sending
# this connect request is the expected user.
if request.args.get('state', '') != session['state']:
  response = make_response(json.dumps('Invalid state parameter.'), 401)
  response.headers['Content-Type'] = 'application/json'
  return response

4। অ্যাক্সেস টোকেন এবং আইডি টোকেনের জন্য এক্সচেঞ্জ code

প্রতিক্রিয়াতে একটি code প্যারামিটার অন্তর্ভুক্ত রয়েছে, একটি এককালীন অনুমোদনের কোড যা আপনার সার্ভার অ্যাক্সেস টোকেন এবং আইডি টোকেনের জন্য বিনিময় করতে পারে। আপনার সার্ভার এইচটিটিপিএস POST অনুরোধ প্রেরণ করে এই এক্সচেঞ্জ তৈরি করে। POST অনুরোধটি টোকেন এন্ডপয়েন্টে প্রেরণ করা হয়েছে, যা আপনাকে token_endpoint মেটাডেটা মানটি ব্যবহার করে আবিষ্কারের নথি থেকে পুনরুদ্ধার করা উচিত। নিম্নলিখিত আলোচনাটি ধরে নিয়েছে শেষ পয়েন্টটি https://oauth2.googleapis.com/token । অনুরোধে অবশ্যই POST বডিটিতে নিম্নলিখিত পরামিতিগুলি অন্তর্ভুক্ত করতে হবে:

আসল অনুরোধটি নিম্নলিখিত উদাহরণের মতো দেখতে পারে:

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7&
client_id=your-client-id&
client_secret=your-client-secret&
redirect_uri=https%3A//oauth2.example.com/code&
grant_type=authorization_code

এই অনুরোধের একটি সফল প্রতিক্রিয়াতে একটি জসন অ্যারেতে নিম্নলিখিত ক্ষেত্রগুলি রয়েছে:

5। আইডি টোকেন থেকে ব্যবহারকারীর তথ্য পান

একটি আইডি টোকেন একটি জেডব্লিউটি (জেএসএন ওয়েব টোকেন), অর্থাৎ একটি ক্রিপ্টোগ্রাফিকভাবে স্বাক্ষরিত বেস 64-এনকোডেড জেএসএন অবজেক্ট। সাধারণত, এটি ব্যবহার করার আগে আপনি কোনও আইডি টোকেনকে বৈধতা দেওয়ার জন্য এটি গুরুত্বপূর্ণ, তবে যেহেতু আপনি একটি মধ্যস্থতাকারী মুক্ত এইচটিটিপিএস চ্যানেলের মাধ্যমে গুগলের সাথে সরাসরি যোগাযোগ করছেন এবং গুগলে নিজেকে প্রমাণীকরণের জন্য আপনার ক্লায়েন্টের গোপনীয়তা ব্যবহার করছেন, আপনি আত্মবিশ্বাসী হতে পারেন যে টোকেন আপনি সত্যই গুগল থেকে আসে এবং বৈধ। যদি আপনার সার্ভারটি আপনার অ্যাপ্লিকেশনটির অন্যান্য উপাদানগুলিতে আইডি টোকেনটি পাস করে তবে অন্যান্য উপাদানগুলি এটি ব্যবহারের আগে টোকেনটিকে বৈধতা দেয় এটি অত্যন্ত গুরুত্বপূর্ণ।

যেহেতু বেশিরভাগ এপিআই লাইব্রেরিগুলি বেস 64url-encoded মানগুলি ডিকোড করার এবং এর মধ্যে জেএসএনকে পার্স করার কাজের সাথে বৈধতা একত্রিত করে, আপনি সম্ভবত আইডি টোকেনের দাবিগুলি অ্যাক্সেস করার সাথে সাথে আপনি সম্ভবত টোকেনটিকে বৈধতা দিয়ে শেষ করবেন।

একটি আইডি টোকেনের পে -লোড

একটি আইডি টোকেন হ'ল একটি জেএসএন অবজেক্ট যা নাম/মান জোড়াগুলির একটি সেট রয়েছে। এখানে একটি উদাহরণ রয়েছে, পঠনযোগ্যতার জন্য ফর্ম্যাট করা:

{
  "iss": "https://accounts.google.com",
  "azp": "1234987819200.apps.googleusercontent.com",
  "aud": "1234987819200.apps.googleusercontent.com",
  "sub": "10769150350006150715113082367",
  "at_hash": "HK6E_P6Dh8Y93mRNtsDB1Q",
  "hd": "example.com",
  "email": "jsmith@example.com",
  "email_verified": "true",
  "iat": 1353601026,
  "exp": 1353604926,
  "nonce": "0394852-3190485-2490358"
}

গুগল আইডি টোকেনগুলিতে নিম্নলিখিত ক্ষেত্রগুলি থাকতে পারে ( দাবি হিসাবে পরিচিত):

6। ব্যবহারকারীকে প্রমাণীকরণ করুন

আইডি টোকেন থেকে ব্যবহারকারীর তথ্য পাওয়ার পরে, আপনার অ্যাপ্লিকেশনটির ব্যবহারকারী ডাটাবেসটি জিজ্ঞাসা করা উচিত। যদি ব্যবহারকারী ইতিমধ্যে আপনার ডাটাবেসে উপস্থিত থাকে তবে গুগল এপিআই প্রতিক্রিয়া দ্বারা সমস্ত লগইন প্রয়োজনীয়তা পূরণ করা হলে আপনার সেই ব্যবহারকারীর জন্য একটি অ্যাপ্লিকেশন সেশন শুরু করা উচিত।

যদি আপনার ব্যবহারকারীর ডাটাবেসে ব্যবহারকারী উপস্থিত না থাকে তবে আপনার ব্যবহারকারীকে আপনার নতুন ব্যবহারকারী সাইন-আপ প্রবাহে পুনর্নির্দেশ করা উচিত। আপনি গুগল থেকে প্রাপ্ত তথ্যের উপর ভিত্তি করে ব্যবহারকারীকে অটো-নিবন্ধ করতে সক্ষম হতে পারেন বা খুব কমপক্ষে আপনি আপনার নিবন্ধকরণ ফর্মের জন্য প্রয়োজনীয় অনেকগুলি ক্ষেত্রের প্রাক-পপুলেট করতে সক্ষম হতে পারেন। আইডি টোকেনের তথ্য ছাড়াও, আপনি আমাদের ব্যবহারকারীর প্রোফাইল এন্ডপয়েন্টগুলিতে অতিরিক্ত ব্যবহারকারী প্রোফাইল তথ্য পেতে পারেন।

উন্নত বিষয়

নিম্নলিখিত বিভাগগুলি গুগল OAuth 2.0 এপিআই আরও বিশদভাবে বর্ণনা করে। এই তথ্যটি প্রমাণীকরণ এবং অনুমোদনের আশেপাশে উন্নত প্রয়োজনীয়তা সহ বিকাশকারীদের জন্য।

অন্যান্য গুগল এপিআইগুলিতে অ্যাক্সেস

প্রমাণীকরণের জন্য OAuth 2.0 ব্যবহারের অন্যতম সুবিধা হ'ল আপনার অ্যাপ্লিকেশনটি ব্যবহারকারীর পক্ষে (যেমন ইউটিউব, গুগল ড্রাইভ, ক্যালেন্ডার বা পরিচিতি) ব্যবহারকারীর পক্ষ থেকে আপনি ব্যবহারকারীকে প্রমাণীকরণের সাথে সাথে অন্যান্য গুগল এপিআই ব্যবহার করার অনুমতি পেতে পারেন। এটি করার জন্য, আপনি গুগলে প্রেরণ করা প্রমাণীকরণের অনুরোধে আপনার প্রয়োজনীয় অন্যান্য স্কোপগুলি অন্তর্ভুক্ত করুন। উদাহরণস্বরূপ, আপনার প্রমাণীকরণের অনুরোধে ব্যবহারকারীর বয়স গোষ্ঠী যুক্ত করতে, openid email https://www.googleapis.com/auth/profile.agerange.read একটি স্কোপ প্যারামিটারটি পাস করুন ব্যবহারকারীকে সম্মতি স্ক্রিনে যথাযথভাবে অনুরোধ করা হয়। আপনি গুগল থেকে ফিরে প্রাপ্ত অ্যাক্সেস টোকেনটি আপনাকে অনুরোধ করা এবং অনুমোদিত হয়েছে এমন অ্যাক্সেসের স্কোপগুলির সাথে সম্পর্কিত সমস্ত এপিআই অ্যাক্সেস করতে দেয়।

টোকেন রিফ্রেশ করুন

এপিআই অ্যাক্সেসের জন্য আপনার অনুরোধে আপনি code এক্সচেঞ্জের সময় একটি রিফ্রেশ টোকেন ফেরত দেওয়ার জন্য অনুরোধ করতে পারেন। একটি রিফ্রেশ টোকেন আপনার অ্যাপ্লিকেশনটিতে উপস্থিত না থাকাকালীন গুগল এপিআইগুলিতে আপনার অ্যাপ্লিকেশনটিকে অবিচ্ছিন্ন অ্যাক্সেস সরবরাহ করে। রিফ্রেশ টোকেনের জন্য অনুরোধ করতে, আপনার প্রমাণীকরণের অনুরোধে offline access_type প্যারামিটারটি সেট করুন।

বিবেচনা:

• রিফ্রেশ টোকেন নিরাপদে এবং স্থায়ীভাবে সঞ্চয় করতে ভুলবেন না, কারণ আপনি কোড এক্সচেঞ্জ প্রবাহটি সম্পাদন করার সময় আপনি কেবল একটি রিফ্রেশ টোকেন পেতে পারেন।
• রিফ্রেশ টোকেনের সংখ্যার সীমাবদ্ধতা রয়েছে যা জারি করা হয়: ক্লায়েন্ট/ব্যবহারকারীর সংমিশ্রণে একটি সীমা এবং সমস্ত ক্লায়েন্ট জুড়ে ব্যবহারকারী প্রতি অন্যটি। যদি আপনার অ্যাপ্লিকেশনটি খুব বেশি রিফ্রেশ টোকেনের জন্য অনুরোধ করে তবে এটি এই সীমাতে চলে যেতে পারে, সেক্ষেত্রে পুরানো রিফ্রেশ টোকেনগুলি কাজ করা বন্ধ করে দেয়।

আরও তথ্যের জন্য, অ্যাক্সেস টোকেন (অফলাইন অ্যাক্সেস) রিফ্রেশ করা দেখুন।

পুনরায় সম্মতি অনুরোধ

আপনি আপনার প্রমাণীকরণের অনুরোধে consent prompt প্যারামিটারটি সেট করে ব্যবহারকারীকে আপনার অ্যাপ্লিকেশনটি পুনরায় অনুমোদন করতে অনুরোধ করতে পারেন। যখন prompt=consent অন্তর্ভুক্ত করা হয়, প্রতিবার আপনার অ্যাপ অ্যাক্সেসের স্কোপগুলির অনুমোদনের জন্য অনুরোধ করে, সম্মতি স্ক্রিনটি প্রদর্শিত হয়, এমনকি যদি সমস্ত স্কোপগুলি আগে আপনার গুগল এপিআইএস প্রকল্পে মঞ্জুর করা হয়েছিল। এই কারণে, prompt=consent অন্তর্ভুক্ত করুন কেবলমাত্র যখন প্রয়োজন।

prompt প্যারামিটার সম্পর্কে আরও তথ্যের জন্য, প্রমাণীকরণ URI পরামিতি সারণীতে prompt দেখুন।

প্রমাণীকরণ URI পরামিতি

নিম্নলিখিত টেবিলটি গুগলের OAuth 2.0 প্রমাণীকরণ এপিআই দ্বারা গৃহীত পরামিতিগুলির আরও সম্পূর্ণ বিবরণ দেয়।

একটি আইডি টোকেন বৈধকরণ

আপনার সার্ভারে সমস্ত আইডি টোকেনগুলি বৈধ করতে হবে যদি না আপনি জানেন যে তারা সরাসরি গুগল থেকে এসেছে। উদাহরণস্বরূপ, আপনার সার্ভারটি অবশ্যই আপনার ক্লায়েন্ট অ্যাপ্লিকেশনগুলি থেকে প্রাপ্ত কোনও আইডি টোকেন হিসাবে খাঁটি হিসাবে যাচাই করতে হবে।

নিম্নলিখিতগুলি এমন সাধারণ পরিস্থিতি যেখানে আপনি আপনার সার্ভারে আইডি টোকেন প্রেরণ করতে পারেন:

• অনুরোধগুলি সহ আইডি টোকেন প্রেরণ করা যা প্রমাণীকরণ করা দরকার। আইডি টোকেনগুলি আপনাকে নির্দিষ্ট ব্যবহারকারীকে অনুরোধ করে বলে এবং কোন ক্লায়েন্টের জন্য সেই আইডি টোকেন দেওয়া হয়েছিল।

আইডি টোকেন সংবেদনশীল এবং বাধা থাকলে অপব্যবহার করা যেতে পারে। আপনাকে অবশ্যই নিশ্চিত করতে হবে যে এই টোকেনগুলি কেবল এইচটিটিপিএসের মাধ্যমে এবং কেবল পোস্ট ডেটার মাধ্যমে বা অনুরোধের শিরোনামগুলির মধ্যে প্রেরণ করে নিরাপদে পরিচালনা করা হবে। আপনি যদি আপনার সার্ভারে আইডি টোকেন সংরক্ষণ করেন তবে আপনাকে অবশ্যই সেগুলি নিরাপদে সংরক্ষণ করতে হবে।

একটি জিনিস যা আইডি টোকেনগুলিকে দরকারী করে তোলে তা হ'ল আপনি এগুলি আপনার অ্যাপ্লিকেশনটির বিভিন্ন উপাদানগুলির চারপাশে পাস করতে পারেন। এই উপাদানগুলি অ্যাপ্লিকেশন এবং ব্যবহারকারীকে প্রমাণীকরণকারী লাইটওয়েট প্রমাণীকরণ প্রক্রিয়া হিসাবে একটি আইডি টোকেন ব্যবহার করতে পারে। তবে আপনি আইডি টোকেনের তথ্য ব্যবহার করার আগে বা ব্যবহারকারীকে প্রমাণীকরণ করেছেন এমন একটি দৃ ser ়তা হিসাবে এটির উপর নির্ভর করার আগে আপনাকে অবশ্যই এটি বৈধ করতে হবে ।

আইডি টোকেনের বৈধতার জন্য বেশ কয়েকটি পদক্ষেপ প্রয়োজন:

1. আইডি টোকেনটি ইস্যুকারী দ্বারা সঠিকভাবে স্বাক্ষরিত কিনা তা যাচাই করুন। গুগল-ইস্যুযুক্ত টোকেনগুলি আবিষ্কারক নথির jwks_uri মেটাডেটা মানতে উল্লিখিত ইউআরআইতে পাওয়া একটি শংসাপত্র ব্যবহার করে স্বাক্ষরিত হয়।
2. আইডি টোকেনে iss দাবির মানটি https://accounts.google.com বা accounts.google.com সমান।
3. আইডি টোকেনে aud দাবির মানটি আপনার অ্যাপের ক্লায়েন্ট আইডির সমান কিনা তা যাচাই করুন।
4. আইডি টোকেনের মেয়াদোত্তীর্ণ সময় ( exp দাবি) পাস হয়নি তা যাচাই করুন।
5. যদি আপনি অনুরোধে কোনও এইচডি প্যারামিটার মান নির্দিষ্ট করে থাকেন তবে যাচাই করুন যে আইডি টোকেনের একটি hd দাবি রয়েছে যা গুগল ক্লাউড সংস্থার সাথে সম্পর্কিত একটি স্বীকৃত ডোমেনের সাথে মেলে।

2 থেকে 5 পদক্ষেপগুলি কেবল স্ট্রিং এবং তারিখের তুলনা জড়িত যা বেশ সোজা, তাই আমরা তাদের এখানে বিশদ বিবরণ দেব না।

প্রথম পদক্ষেপটি আরও জটিল এবং এতে ক্রিপ্টোগ্রাফিক স্বাক্ষর চেকিং জড়িত। ডিবাগিংয়ের উদ্দেশ্যে, আপনি আপনার সার্ভার বা ডিভাইসে প্রয়োগ করা স্থানীয় প্রক্রিয়াকরণের সাথে তুলনা করতে গুগলের tokeninfo এন্ডপয়েন্টটি ব্যবহার করতে পারেন। ধরুন আপনার আইডি টোকেনের মান XYZ123 । তারপরে আপনি uri https://oauth2.googleapis.com/tokeninfo?id_token= XYZ123 ডেরফার করবেন। যদি টোকেন স্বাক্ষরটি বৈধ হয় তবে প্রতিক্রিয়াটি তার ডিকোডেড জেএসএন অবজেক্ট ফর্মটিতে জেডব্লিউটি পে -লোড হবে।

tokeninfo এন্ডপয়েন্টটি ডিবাগিংয়ের জন্য দরকারী তবে উত্পাদনের উদ্দেশ্যে, কীগুলি শেষ পয়েন্ট থেকে গুগলের পাবলিক কীগুলি পুনরুদ্ধার করুন এবং স্থানীয়ভাবে বৈধতাটি সম্পাদন করুন। jwks_uri মেটাডেটা মান ব্যবহার করে আপনার আবিষ্কার ডকুমেন্ট থেকে কীগুলি ইউআরআই পুনরুদ্ধার করা উচিত। ডিবাগিং এন্ডপয়েন্টের অনুরোধগুলি থ্রোটলড বা অন্যথায় অন্তর্বর্তী ত্রুটির সাপেক্ষে হতে পারে।

যেহেতু গুগল তার পাবলিক কীগুলি কেবল তখনই পরিবর্তন করে, আপনি এইচটিটিপি প্রতিক্রিয়ার ক্যাশে নির্দেশাবলী ব্যবহার করে এগুলি ক্যাশে করতে পারেন এবং বেশিরভাগ ক্ষেত্রে tokeninfo এন্ডপয়েন্টটি ব্যবহার করে স্থানীয় বৈধতা আরও দক্ষতার সাথে সম্পাদন করতে পারেন। এই বৈধতার জন্য শংসাপত্রগুলি পুনরুদ্ধার এবং পার্সিং করা এবং স্বাক্ষরটি পরীক্ষা করার জন্য উপযুক্ত ক্রিপ্টোগ্রাফিক কলগুলি করা প্রয়োজন। ভাগ্যক্রমে, এটি সম্পাদন করার জন্য বিভিন্ন ভাষায় সুগঠিত গ্রন্থাগারগুলি পাওয়া যায় ( jwt.io দেখুন)।

ব্যবহারকারী প্রোফাইল তথ্য প্রাপ্তি

ব্যবহারকারী সম্পর্কে অতিরিক্ত প্রোফাইল তথ্য পেতে, আপনি অ্যাক্সেস টোকেন (যা প্রমাণীকরণ প্রবাহের সময় আপনার অ্যাপ্লিকেশনটি গ্রহণ করে) এবং ওপেনআইডি কানেক্ট স্ট্যান্ডার্ড ব্যবহার করতে পারেন:

1. ওপেনআইডি-কমপ্লায়েন্ট হওয়ার জন্য, আপনাকে অবশ্যই আপনার প্রমাণীকরণের অনুরোধে openid profile স্কোপ মানগুলি অন্তর্ভুক্ত করতে হবে।

   আপনি যদি ব্যবহারকারীর ইমেল ঠিকানা অন্তর্ভুক্ত করতে চান তবে আপনি email অতিরিক্ত স্কোপ মান নির্দিষ্ট করতে পারেন। profile এবং email উভয় নির্দিষ্ট করতে, আপনি আপনার প্রমাণীকরণের অনুরোধ ইউআরআইতে নিম্নলিখিত প্যারামিটারটি অন্তর্ভুক্ত করতে পারেন:

   scope=openid%20profile%20email

2. অনুমোদনের শিরোনামে আপনার অ্যাক্সেস টোকেন যুক্ত করুন এবং ইউজারআইএনএফও এন্ডপয়েন্টে একটি এইচটিটিপিএস GET অনুরোধ করুন, যা আপনাকে userinfo_endpoint মেটাডেটা মান ব্যবহার করে আবিষ্কারের নথি থেকে পুনরুদ্ধার করা উচিত। ইউজারআইএনএফও প্রতিক্রিয়াতে OpenID Connect Standard Claims বর্ণিত হিসাবে ব্যবহারকারী সম্পর্কে তথ্য অন্তর্ভুক্ত রয়েছে এবং আবিষ্কারের নথির claims_supported মেটাডেটা মান। ব্যবহারকারী বা তাদের সংস্থাগুলি নির্দিষ্ট ক্ষেত্রগুলি সরবরাহ বা রোধ করতে বেছে নিতে পারে, যাতে আপনি অ্যাক্সেসের অনুমোদিত স্কোপগুলির জন্য প্রতিটি ক্ষেত্রের জন্য তথ্য পেতে পারেন না।

আবিষ্কারের দলিল

ওপেনআইডি কানেক্ট প্রোটোকলটির জন্য ব্যবহারকারীদের প্রমাণীকরণ করার জন্য এবং টোকেন, ব্যবহারকারীর তথ্য এবং পাবলিক কী সহ সংস্থানগুলির জন্য অনুরোধ করার জন্য একাধিক এন্ডপয়েন্টগুলির ব্যবহার প্রয়োজন।

বাস্তবায়নগুলি সহজতর করতে এবং নমনীয়তা বাড়ানোর জন্য, ওপেনআইডি কানেক্টটি একটি "আবিষ্কারের নথি" ব্যবহারের অনুমতি দেয়, একটি জেএসএন ডকুমেন্টে কী-মান জোড়াযুক্ত একটি সুপরিচিত স্থানে পাওয়া যায় যা ওপেনআইডি সংযোগ সরবরাহকারীর কনফিগারেশন সম্পর্কে বিশদ সরবরাহ করে, অনুমোদনের ইউআরআইএস সহ , টোকেন, প্রত্যাহার, ইউজারআইনফো এবং পাবলিক-কিস এন্ডপয়েন্টস। গুগলের ওপেনআইডি সংযোগ পরিষেবার জন্য আবিষ্কারের দস্তাবেজটি থেকে পুনরুদ্ধার করা যেতে পারে:

https://accounts.google.com/.well-known/openid-configuration

গুগলের ওপেনআইডি সংযোগ পরিষেবাগুলি ব্যবহার করতে, আপনার অ্যাপ্লিকেশনটিতে আবিষ্কারের ডকুমেন্ট ইউআরআই ( https://accounts.google.com/.well-known/openid-configuration ) হার্ড-কোড করা উচিত। আপনার অ্যাপ্লিকেশনটি দস্তাবেজটি নিয়ে আসে, প্রতিক্রিয়াতে ক্যাচিংয়ের নিয়মগুলি প্রয়োগ করে, তারপরে প্রয়োজন অনুসারে এটি থেকে শেষ পয়েন্ট ইউআরআইগুলি পুনরুদ্ধার করে। উদাহরণস্বরূপ, কোনও ব্যবহারকারীকে প্রমাণীকরণের জন্য, আপনার কোডটি authorization_endpoint মেটাডেটা মানটি পুনরুদ্ধার করবে ( https://accounts.google.com/o/oauth2/v2/auth ) নীচের উদাহরণে) প্রমাণীকরণের অনুরোধগুলির জন্য বেস ইউআরআই হিসাবে প্রেরণ করা হয়েছে যা প্রেরণ করা হয়েছে গুগল

এখানে যেমন একটি নথির উদাহরণ; ক্ষেত্রের নামগুলি ওপেনআইডি কানেক্ট ডিসকভারি 1.0 এ নির্দিষ্ট করা হয়েছে (তাদের অর্থের জন্য সেই দস্তাবেজটি দেখুন)। মানগুলি নিখুঁতভাবে চিত্রিত এবং পরিবর্তিত হতে পারে, যদিও এগুলি প্রকৃত গুগল আবিষ্কারের ডকুমেন্টের সাম্প্রতিক সংস্করণ থেকে অনুলিপি করা হয়েছে:

{
  "issuer": "https://accounts.google.com",
  "authorization_endpoint": "https://accounts.google.com/o/oauth2/v2/auth",
  "device_authorization_endpoint": "https://oauth2.googleapis.com/device/code",
  "token_endpoint": "https://oauth2.googleapis.com/token",
  "userinfo_endpoint": "https://openidconnect.googleapis.com/v1/userinfo",
  "revocation_endpoint": "https://oauth2.googleapis.com/revoke",
  "jwks_uri": "https://www.googleapis.com/oauth2/v3/certs",
  "response_types_supported": [
    "code",
    "token",
    "id_token",
    "code token",
    "code id_token",
    "token id_token",
    "code token id_token",
    "none"
  ],
  "subject_types_supported": [
    "public"
  ],
  "id_token_signing_alg_values_supported": [
    "RS256"
  ],
  "scopes_supported": [
    "openid",
    "email",
    "profile"
  ],
  "token_endpoint_auth_methods_supported": [
    "client_secret_post",
    "client_secret_basic"
  ],
  "claims_supported": [
    "aud",
    "email",
    "email_verified",
    "exp",
    "family_name",
    "given_name",
    "iat",
    "iss",
    "locale",
    "name",
    "picture",
    "sub"
  ],
  "code_challenge_methods_supported": [
    "plain",
    "S256"
  ]
}

আপনি আবিষ্কারের নথি থেকে মানগুলি ক্যাশে করে কোনও এইচটিটিপি রাউন্ড-ট্রিপ এড়াতে সক্ষম হতে পারেন। স্ট্যান্ডার্ড এইচটিটিপি ক্যাচিং শিরোনাম ব্যবহার করা হয় এবং তাদের সম্মান করা উচিত।

ক্লায়েন্ট লাইব্রেরি

নিম্নলিখিত ক্লায়েন্ট লাইব্রেরিগুলি জনপ্রিয় ফ্রেমওয়ার্কগুলির সাথে সংহত করে OAuth 2.0 সহজতর বাস্তবায়ন করে:

• জাভার জন্য গুগল এপিআই ক্লায়েন্ট লাইব্রেরি
• পাইথনের জন্য গুগল এপিআই ক্লায়েন্ট লাইব্রেরি
• .NET এর জন্য গুগল এপিআই ক্লায়েন্ট লাইব্রেরি
• রুবির জন্য গুগল এপিআই ক্লায়েন্ট লাইব্রেরি
• পিএইচপি জন্য গুগল এপিআই ক্লায়েন্ট লাইব্রেরি
• গুগল ওয়েব টুলকিটের জন্য OAuth 2.0 লাইব্রেরি
• ম্যাক ওআউথ 2.0 কন্ট্রোলারদের জন্য গুগল টুলবক্স

ওপেনআইডি সংযোগ সম্মতি

গুগলের OAuth 2.0 প্রমাণীকরণ সিস্টেম ওপেনআইডি কানেক্ট কোর স্পেসিফিকেশনের প্রয়োজনীয় বৈশিষ্ট্যগুলিকে সমর্থন করে। ওপেনআইডি সংযোগের সাথে কাজ করার জন্য ডিজাইন করা যে কোনও ক্লায়েন্টকে এই পরিষেবার সাথে আন্তঃসংযোগ করা উচিত ( ওপেনআইডি অনুরোধ অবজেক্ট ব্যতীত)।