OpenID Connect

Google'ın OAuth 2.0 API'leri hem kimlik doğrulama hem de yetkilendirme için kullanılabilir. Bu dokümanda, OpenID Connect spesifikasyonuna uygun olan ve OpenID Onaylı olan kimlik doğrulama için OAuth 2.0 uygulamamız açıklanmaktadır. Google API'lerine Erişmek için OAuth 2.0'ı Kullanma makalesindeki dokümanlar da bu hizmet için geçerlidir. Bu protokolü etkileşimli olarak keşfetmek istiyorsanız Google OAuth 2.0 Playground'u öneririz. Stack Overflow ile ilgili yardım almak için sorularınızı 'google-oauth' etiketiyle etiketleyin.

OAuth 2.0 ayarlanıyor

Uygulamanızın, kullanıcı girişinde Google'ın OAuth 2.0 kimlik doğrulama sistemini kullanabilmesi için Google API Console OAuth 2.0 kimlik bilgilerini almak, bir yönlendirme URI'si ayarlamak ve (isteğe bağlı olarak) kullanıcılarınızın izin ekranında gördüğü marka bilinci oluşturma bilgilerini özelleştirmek için bir proje oluşturmanız gerekir. Hizmet hesabı oluşturmak, faturalandırmayı etkinleştirmek, filtrelemeyi ayarlamak ve diğer görevleri gerçekleştirmek için API Console hizmetini de kullanabilirsiniz. Daha fazla bilgi için Google API Console Yardım'a bakın.

OAuth 2.0 kimlik bilgilerini alma

Kullanıcıların kimliğini doğrulamak ve Google API'lerine erişmek için istemci kimliği ve istemci gizli anahtarı dahil OAuth 2.0 kimlik bilgilerine ihtiyacınız vardır.

Belirli bir OAuth 2.0 kimlik bilgisinin istemci kimliğini ve istemci sırrını görüntülemek için aşağıdaki metni tıklatın: Kimlik bilgilerini seçin . Açılan pencerede projenizi ve istediğiniz kimlik bilgilerini seçin, ardından Görüntüle'yi tıklayın.

Veya müşteri kimliğinizi ve müşteri sırrınızı API Console Kimlik Bilgileri sayfasından API Console :

1. Go to the Credentials page.
2. Kimlik bilgilerinizin adını veya kurşun kalem ( create ) simgesini tıklayın. Müşteri kimliğiniz ve sırrınız sayfanın en üstünde.

Yönlendirme URI'si ayarla

API Console alanında ayarladığınız yönlendirme URI'si, Google'ın yanıtları kimlik doğrulama isteklerinize nereye göndereceğini belirler.

Belirli bir OAuth 2.0 kimlik bilgileri için yönlendirme URI'leri oluşturmak, görüntülemek veya düzenlemek için aşağıdakileri yapın:

1. Go to the Credentials page.
2. Sayfanın OAuth 2.0 istemci kimlikleri bölümünde bir kimlik bilgilerini tıklatın.
3. Yönlendirme URI'lerini görüntüleyin veya düzenleyin.

Kimlik Bilgileri sayfasında OAuth 2.0 istemci kimlikleri bölümü yoksa, projenizde OAuth kimlik bilgileri yoktur. Bir tane oluşturmak için Kimlik bilgileri oluştur'u tıklayın.

Kullanıcı rızası ekranını özelleştirme

Kullanıcılarınız için OAuth 2.0 kimlik doğrulama deneyimi, kullanıcının yayınladığı bilgileri ve geçerli şartları açıklayan bir izin ekranı içerir. Örneğin, kullanıcı giriş yaptığında, uygulamanıza e-posta adresine ve temel hesap bilgilerine erişim izni vermesi istenebilir. Uygulamanızın kimlik doğrulama isteğine dahil ettiği scope parametresini kullanarak bu bilgilere erişim isteğinde bulunabilirsiniz. Diğer Google API'lerine erişim istemek için kapsamları da kullanabilirsiniz.

Kullanıcı rızası ekranı, ürün adı, logo ve ana sayfa URL'si gibi marka bilgilerini de gösterir. Marka bilgilerini API Consoleüzerinde kontrol edebilirsiniz.

Projenizin onay ekranını etkinleştirmek için:

1. Aç Consent Screen page yılında Google API Console .
2. If prompted, select a project, or create a new one.
3. Formu doldurun ve Kaydet'i tıklayın .

Aşağıdaki izin iletişim kutusunda, OAuth 2.0 ve Google Drive kapsamlarının bir kombinasyonu istekte bulunduğunda kullanıcının ne göreceğini belirtir. (Bu genel iletişim kutusu Google OAuth 2.0 Playground kullanılarak oluşturuldu. Bu yüzden, API Consoleöğesinde ayarlanacak marka bilgilerini içermez.)

Hizmete erişme

Google ve üçüncü taraflar, kullanıcıların kimliklerini doğrulama ve Google API'lerine erişmeyle ilgili uygulama ayrıntılarının çoğunu yapmak için kullanabileceğiniz kitaplıklar sağlar. Örnekler, çeşitli platformlarda kullanılabilen Google Kimlik Hizmetleri ve Google istemci kitaplıklarını kapsar.

Kitaplık kullanmamayı tercih ederseniz bu dokümanın geri kalan kısmında yer alan, mevcut kitaplıkların temelindeki HTTP isteği akışlarını açıklayan talimatları uygulayın.

Kullanıcı kimliğini doğrulama

Kullanıcının kimliğini doğrulamak için bir kimlik jetonu almanız ve bunu doğrulamanız gerekir. Kimlik jetonları, internet üzerinde kimlik doğrulama işlemlerinde kullanılmak üzere tasarlanmış OpenID Connect'in standartlaştırılmış bir özelliğidir.

Bir kullanıcının kimliğini doğrulamak ve bir kimlik jetonu almak için kullanılan en yaygın yaklaşımlar, "sunucu" akışı ve "dolaylı akış" olarak adlandırılır. Sunucu akışı, bir uygulamanın arka uç sunucusunun tarayıcı veya mobil cihaz kullanan kişinin kimliğini doğrulamasına olanak tanır. Dolaylı akış, istemci taraflı bir uygulamanın (genellikle tarayıcıda çalışan bir JavaScript uygulaması) arka uç sunucusu yerine doğrudan API'lere erişmesi gerektiğinde kullanılır.

Bu dokümanda, kullanıcının kimliğini doğrulamak için sunucu akışının nasıl gerçekleştirileceği açıklanmaktadır. İstemci tarafında jetonların işlenmesi ve kullanılmasıyla ilgili güvenlik riskleri nedeniyle, dolaylı akış önemli ölçüde daha karmaşıktır. Dolaylı bir akış uygulamanız gerekiyorsa Google Kimlik Hizmetleri'ni kullanmanızı önemle tavsiye ederiz.

Sunucu akışı

Uygulamanızın bu protokolleri kullanabilmesi ve kullanıcılarınızın kimliğini doğrulaması için uygulamayı API Consoleuygulamasında ayarladığınızdan emin olun. Bir kullanıcı Google'a giriş yapmaya çalıştığında şunları yapmanız gerekir:

1. Sahtekarlık karşıtı durum jetonu oluşturma
2. Google'a kimlik doğrulama isteği gönderme
3. Sahtekarlığı önleme durum jetonunu onaylayın
4. Erişim jetonu ve kimlik jetonu için code değişimi
5. Kimlik jetonundan kullanıcı bilgileri edinme
6. Kullanıcının kimliğini doğrulama

1. Sahtekarlık karşıtı durum jetonu oluşturma

Sahtekarlık saldırılarına karşı önlem alarak kullanıcılarınızın güvenliğini korumalısınız. İlk adım, uygulamanız ile kullanıcının istemcisi arasında durumu tutan benzersiz bir oturum jetonu oluşturmaktır. Daha sonra bu benzersiz oturum jetonunu, kullanıcının kötü amaçlı bir saldırganla değil, istek yaptığını doğrulamak üzere Google OAuth Giriş hizmeti tarafından döndürülen kimlik doğrulama yanıtıyla eşleştirirsiniz. Bu jetonlara genellikle siteler arası istek sahtekarlığı (CSRF) jetonları denir.

Eyalet jetonu için iyi bir seçim, yüksek kaliteli rastgele sayı jeneratörü kullanılarak oluşturulmuş 30'a yakın karakterden oluşan bir dizedir. Bir diğeri de oturum durumu değişkenlerinizden bazılarının arka ucunda gizli tutulacak bir anahtarla imzalanmasıyla elde edilen karmadır.

Aşağıdaki kod, benzersiz oturum jetonları oluşturmayı göstermektedir.

// Create a state token to prevent request forgery.
// Store it in the session for later validation.
$state = bin2hex(random_bytes(128/8));
$app['session']->set('state', $state);
// Set the client ID, token state, and application name in the HTML while
// serving it.
return $app['twig']->render('index.html', array(
    'CLIENT_ID' => CLIENT_ID,
    'STATE' => $state,
    'APPLICATION_NAME' => APPLICATION_NAME
));

// Create a state token to prevent request forgery.
// Store it in the session for later validation.
String state = new BigInteger(130, new SecureRandom()).toString(32);
request.session().attribute("state", state);
// Read index.html into memory, and set the client ID,
// token state, and application name in the HTML before serving it.
return new Scanner(new File("index.html"), "UTF-8")
    .useDelimiter("\\A").next()
    .replaceAll("[{]{2}\\s*CLIENT_ID\\s*[}]{2}", CLIENT_ID)
    .replaceAll("[{]{2}\\s*STATE\\s*[}]{2}", state)
    .replaceAll("[{]{2}\\s*APPLICATION_NAME\\s*[}]{2}",
    APPLICATION_NAME);

# Create a state token to prevent request forgery.
# Store it in the session for later validation.
state = hashlib.sha256(os.urandom(1024)).hexdigest()
session['state'] = state
# Set the client ID, token state, and application name in the HTML while
# serving it.
response = make_response(
    render_template('index.html',
                    CLIENT_ID=CLIENT_ID,
                    STATE=state,
                    APPLICATION_NAME=APPLICATION_NAME))

2. Google'a kimlik doğrulama isteği gönderme

Sonraki adım, uygun URI parametreleriyle bir HTTPS GET isteği oluşturmaktır. Bu sürecin tüm adımlarında HTTP yerine HTTPS kullanıldığını unutmayın. HTTP bağlantıları reddedilir. authorization_endpoint meta veri değerini kullanarak temel URI'yi Discovery dokümanından almanız gerekir. Aşağıdaki tartışmada temel URI'nin https://accounts.google.com/o/oauth2/v2/auth olduğu varsayılmıştır.

Temel istek için aşağıdaki parametreleri belirtin:

• client_id API Console Credentials page
• response_type. Temel yetkilendirme kodu akışı isteğinde code olmalıdır. (Daha fazla bilgi için response_type adresine bakın.)
• scope. Temel istekte openid email olması gerekir. (Daha fazla bilgi için scope adresini ziyaret edin.)
• redirect_uri, sunucunuzda Google'dan yanıt alacak HTTP uç noktası olmalıdır. Değerin, API Console Credentials pagebölümünde yapılandırdığınız OAuth 2.0 istemcisinin yetkili yönlendirme URI'lerinden biriyle tam olarak eşleşmesi gerekir. Bu değer yetkili bir URI ile eşleşmezse istek redirect_uri_mismatch hatasıyla başarısız olur.
• state, sahtekarlık karşıtı benzersiz oturum jetonunun değerini ve kullanıcı uygulamanıza döndüğünde bağlamı kurtarmak için gereken diğer bilgileri (ör. başlangıç URL'si) içermelidir. (Daha fazla bilgi için state adresini ziyaret edin.)
• nonce, uygulamanız tarafından oluşturulan ve mevcut olduğunda tekrar oynatma korumasını sağlayan rastgele bir değerdir.
• login_hint, kullanıcının e-posta adresi veya kullanıcının Google kimliğiyle eşdeğer olan sub dizesi olabilir. login_hint sağlamazsanız ve kullanıcı halihazırda oturum açmışsa, izin ekranında kullanıcının e-posta adresinin uygulamanıza serbest bırakılması için bir onay isteği yer alır. (login_hint adresinde daha fazla bilgi edinebilirsiniz.)
• OpenID Connect akışını bir Google Cloud kuruluşuyla ilişkili belirli bir alanın kullanıcıları için optimize etmek amacıyla hd parametresini kullanın. (Daha fazla bilgi için hd adresine bakın.)

Aşağıda, satır sonları ve boşlukları içeren okunabilir bir OpenID Connect kimlik doğrulama URI'si örneği verilmiştir:

https://accounts.google.com/o/oauth2/v2/auth?
 response_type=code&
 client_id=424911365001.apps.googleusercontent.com&
 scope=openid%20email&
 redirect_uri=https%3A//oauth2.example.com/code&
 state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foauth2-login-demo.example.com%2FmyHome&
 login_hint=jsmith@example.com&
 nonce=0394852-3190485-2490358&
 hd=example.com

Uygulamanız kendileriyle ilgili yeni bilgiler isterse veya daha önce onaylamadıkları hesap erişimi isterse kullanıcılar izin vermelidir.

3. Sahtekarlık karşıtı durum jetonunu onaylayın

Yanıt, istekte belirttiğiniz redirect_uri adresine gönderilir. Tüm yanıtlar, aşağıda gösterildiği gibi sorgu dizesinde döndürülür:

https://oauth2.example.com/code?state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foa2cb.example.com%2FmyHome&code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7&scope=openid%20email%20https://www.googleapis.com/auth/userinfo.email

Sunucuda, Google'dan aldığınız state değerinin 1. adımda oluşturduğunuz oturum jetonuyla eşleştiğini onaylamanız gerekir. Bu gidiş dönüş doğrulama, kötü amaçlı bir komut dosyası değil kullanıcının isteği yapmasını sağlamaya yardımcı olur.

Aşağıdaki kodda, 1. Adımda oluşturduğunuz oturum jetonlarının onaylandığı gösterilmektedir:

// Ensure that there is no request forgery going on, and that the user
// sending us this connect request is the user that was supposed to.
if ($request->get('state') != ($app['session']->get('state'))) {
  return new Response('Invalid state parameter', 401);
}

// Ensure that there is no request forgery going on, and that the user
// sending us this connect request is the user that was supposed to.
if (!request.queryParams("state").equals(
    request.session().attribute("state"))) {
  response.status(401);
  return GSON.toJson("Invalid state parameter.");
}

# Ensure that the request is not a forgery and that the user sending
# this connect request is the expected user.
if request.args.get('state', '') != session['state']:
  response = make_response(json.dumps('Invalid state parameter.'), 401)
  response.headers['Content-Type'] = 'application/json'
  return response

4. Erişim jetonu ve kimlik jetonu için code değişimi

Yanıtta, sunucunuzun erişim jetonu ve kimlik jetonu karşılığında kullanabileceği tek seferlik bir yetkilendirme kodu olan code parametresi bulunmaktadır. Sunucunuz, bu exchange'i HTTPS POST isteği göndererek gerçekleştirir. POST isteği, jeton uç noktasına gönderilir. token_endpoint meta veri değerini kullanarak Keşif dokümanından almanız gerekir. Aşağıdaki tartışmada uç noktanın https://oauth2.googleapis.com/token olduğu varsayılmaktadır. İstek, POST gövdesinde aşağıdaki parametreleri içermelidir:

Gerçek istek, aşağıdaki örnekteki gibi görünebilir:

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7&
client_id=your-client-id&
client_secret=your-client-secret&
redirect_uri=https%3A//oauth2.example.com/code&
grant_type=authorization_code

Bu isteğe başarılı bir yanıt, JSON dizisinde aşağıdaki alanları içerir:

5. Kimlik jetonundan kullanıcı bilgileri edinme

Kimlik Jetonu, bir JWT (JSON Web Token) yani kriptografik olarak imzalanmış Base64 kodlu bir JSON nesnesidir. Normalde kimliği bir jetonu kullanmadan önce doğrulamanız çok önemlidir. Ancak Google ile doğrudan aracı olmayan bir HTTPS kanalı üzerinden iletişim kurduğunuzdan ve Google'da kimliğinizi doğrulamak için istemci gizli anahtarınızı kullandığınızdan, aldığınız jetonun gerçekten Google'dan geldiğinden ve geçerli olduğundan emin olabilirsiniz. Sunucunuz kimlik jetonunu uygulamanızın diğer bileşenlerine iletiyorsa diğer bileşenlerin bu jetonu kullanmadan önce jetonu doğrulaması çok önemlidir.

Çoğu API kitaplığı, doğrulamayı Base64url olarak kodlanmış değerlerin kodunu çözme ve JSON içindeki verileri ayrıştırma çalışmalarıyla birleştirdiğinden, muhtemelen jetondaki hak taleplerine eriştiğinizde jetonu doğrulayabilirsiniz.

Kimlik jetonu yükü

Kimlik jetonu, bir ad/değer çifti kümesi içeren bir JSON nesnesidir. Okunaklılık için biçimlendirilmiş bir örnek:

{
  "iss": "https://accounts.google.com",
  "azp": "1234987819200.apps.googleusercontent.com",
  "aud": "1234987819200.apps.googleusercontent.com",
  "sub": "10769150350006150715113082367",
  "at_hash": "HK6E_P6Dh8Y93mRNtsDB1Q",
  "hd": "example.com",
  "email": "jsmith@example.com",
  "email_verified": "true",
  "iat": 1353601026,
  "exp": 1353604926,
  "nonce": "0394852-3190485-2490358"
}

Google Kimliği Jetonları aşağıdaki alanları içerebilir (hak talepleri olarak bilinir):

6. Kullanıcının kimliğini doğrulama

Kimlik jetonundan kullanıcı bilgilerini aldıktan sonra uygulamanızın kullanıcı veritabanını sorgulamalısınız. Halihazırda veritabanınızda bulunan bir kullanıcı varsa ve tüm giriş şartları Google API yanıtı tarafından karşılanıyorsa bu kullanıcı için bir uygulama oturumu başlatmanız gerekir.

Kullanıcı, kullanıcı veritabanınızda yoksa kullanıcıyı yeni kullanıcı kayıt akışınıza yönlendirmeniz gerekir. Kullanıcıyı Google'dan edindiğiniz bilgilere göre otomatik olarak kaydedebilir veya en azından kayıt formunuzda zorunlu tutulan birçok alanı önceden doldurabilirsiniz. Kimlik jetonundaki bilgilere ek olarak, kullanıcı profili uç noktalarımızda ek kullanıcı profili bilgileri alabilirsiniz.

İleri düzey konular

Aşağıdaki bölümlerde, Google OAuth 2.0 API'si daha ayrıntılı olarak açıklanmıştır. Bu bilgi, kimlik doğrulama ve yetkilendirmeyle ilgili ileri düzey gereksinimleri olan geliştiriciler için hazırlanmıştır.

Diğer Google API'lerine erişim

Kimlik doğrulama için OAuth 2.0 kullanmanın avantajlarından biri, uygulamanızın kimlik doğrulamasının aynı zamanda kullanıcı adına diğer YouTube API'lerini (YouTube, Google Drive, Takvim veya Kişiler gibi) kullanma iznine sahip olmasıdır. Bunu yapmak için ihtiyacınız olan diğer kapsamları Google'a gönderdiğiniz kimlik doğrulama isteğine ekleyin. Örneğin, kullanıcının yaş grubunu kimlik doğrulama isteğinize eklemek için openid email https://www.googleapis.com/auth/profile.agerange.read kapsam parametresini iletin. Kullanıcı, izin ekranında uygun şekilde istenir. Google'dan aldığınız erişim jetonu, istediğiniz ve size verilen erişim kapsamlarıyla ilgili tüm API'lere erişmenizi sağlar.

Jetonları yenileme

API erişimi isteğinizde, code exchange sırasında döndürülmesi için yenileme jetonu isteyebilirsiniz. Yenileme jetonu, kullanıcı uygulamanızda değilken uygulamanızın Google API'lerine sürekli erişmesini sağlar. Yenileme jetonu istemek için kimlik doğrulama isteğinizde access_type parametresini offline olarak ekleyin.

Dikkat Edilecek Noktalar:

• Yenileme jetonunu yalnızca kod değişimi akışını ilk kez gerçekleştirdiğinizde alabileceğinizden yenileme jetonunu güvenli ve kalıcı bir şekilde sakladığınızdan emin olun.
• Her bir istemci/kullanıcı kombinasyonu için bir sınır ve tüm istemcilerde kullanıcı başına bir sınır olmak üzere, yayınlanan yenileme jetonlarının sayısı sınırlıdır. Uygulamanız çok fazla yenileme jetonu isterse bu sınırlara rastlayabilir. Bu durumda, eski yenileme jetonları çalışmayı durdurur.

Daha fazla bilgi için Erişim jetonunu yenileme (çevrimdışı erişim) bölümüne göz atın.

Yeniden izin isteme

Kimlik doğrulama isteğinizde prompt parametresini consent olarak ayarlayarak kullanıcıdan uygulamanızı yeniden yetkilendirmesini isteyebilirsiniz. prompt=consent eklendiğinde, kapsamlar Google API'leri projenize daha önce verilmiş olsa bile uygulamanız erişim kapsamları için her yetkilendirme istediğinde izin ekranı görüntülenir. Bu nedenle, prompt=consent özelliğini yalnızca gerektiğinde ekleyin.

prompt parametresi hakkında daha fazla bilgi için Kimlik Doğrulama URI'sı parametreleri tablosunda prompt bölümüne bakın.

Kimlik doğrulama URI parametreleri

Aşağıdaki tabloda, Google’ın OAuth 2.0 kimlik doğrulama API'si tarafından kabul edilen parametreler hakkında daha ayrıntılı açıklamalar verilmiştir.

Kimlik jetonunu doğrulama

Sunucunuzdaki tüm kimlik jetonlarını doğrudan Google'dan geldiğini bilmediğiniz sürece doğrulamanız gerekir. Örneğin, sunucunuzun istemci uygulamalarınızdan aldığı tüm kimlik jetonlarını orijinal olarak doğrulaması gerekir.

Sunucunuza kimlik jetonu gönderebileceğiniz yaygın durumlar şunlardır:

• Kimliğinin doğrulanması gereken istekler içeren kimlik jetonları gönderme. Kimlik jetonları, istekte bulunan belirli bir kullanıcıyı ve bu kimlik jetonunun hangi istemci için verildiğini gösterir.

Kimlik jetonları hassastır ve ele geçirilirse kötüye kullanılabilir. Bu jetonların yalnızca HTTPS üzerinden ve yalnızca POST verileri aracılığıyla ya da istek başlıkları altında aktarılmasıyla güvenli bir şekilde işlendiğinden emin olmanız gerekir. Kimlik jetonlarını sunucunuzda depoluyorsanız bunları da güvenli bir şekilde saklamalısınız.

Kimlik jetonlarını faydalı kılan şeylerden biri de jetonları uygulamanızın farklı bileşenlerinin içine aktarmanızdır. Bu bileşenler, kimlik doğrulaması için uygulamanın ve kullanıcının kimliğini doğrulayan basit bir kimlik doğrulama mekanizması olarak kullanılabilir. Ancak kimlik jetonundaki bilgileri kullanabilmek veya bunu kullanıcının kimliğini doğruladığının bir kanıtı olarak kullanmadan önce bunu doğrulamanız gerekir.

Kimlik jetonunun doğrulanması için birkaç adım gerekir:

1. Kimlik jetonunun, kartı veren kuruluş tarafından doğru şekilde imzalandığını doğrulayın. Google tarafından verilen jetonlar, Discovery dokümanının jwks_uri meta veri değerinde belirtilen URI'de bulunan sertifikalardan biri kullanılarak imzalanır.
2. Kimlik jetonundaki iss hak talebi değerinin https://accounts.google.com veya accounts.google.com değerine eşit olduğunu doğrulayın.
3. Kimlik jetonundaki aud hak talebinin değerinin, uygulamanızın istemci kimliğiyle aynı olduğunu doğrulayın.
4. Kimlik jetonunun süre sonu (exp hak talebi) geçmediğini doğrulayın.
5. İstekte hd parametresi değeri belirttiyseniz kimlik jetonunun, Google Cloud kuruluşuyla ilişkili kabul edilen bir alan adıyla eşleşen hd hak talebinde bulunduğunu doğrulayın.

2. ila 5. adımlar yalnızca oldukça basit olan dize ve tarih karşılaştırmalarını içerir. Bu nedenle, burada ayrıntıları ayrıntılı olarak vermeyeceğiz.

İlk adım daha karmaşıktır ve kriptografik imza kontrolü içerir. Hata ayıklama amacıyla, sunucunuzda veya cihazınızda uygulanan yerel işlemlerle karşılaştırmak için Google'ın tokeninfo uç noktasını kullanabilirsiniz. Kimlik jetonunuzun değerinin XYZ123 olduğunu varsayalım. Bu durumda https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123 URI'sinin referansını kaybedersiniz. Jeton imzası geçerliyse yanıt, kodu çözülmüş JSON nesne biçimindeki JWT yükü olur.

tokeninfo uç noktası, hata ayıklama için faydalıdır ancak üretim amacıyla Google'ın ortak anahtarlarını anahtar uç noktasından alın ve doğrulamayı yerel olarak gerçekleştirin. Anahtarların URI'sini jwks_uri meta veri değerini kullanarak Discovery dokümanından almanız gerekir. Hata ayıklama uç noktasına yapılan istekler kısıtlanabilir veya başka şekillerde aralıklı hatalara neden olabilir.

Google, ortak anahtarlarını yalnızca nadiren değiştirdiğinden, HTTP yanıtının önbellek yönergelerini kullanarak bu anahtarları önbelleğe alabilir ve çoğu durumda yerel doğrulama işlemini tokeninfo uç noktasından çok daha etkili bir şekilde gerçekleştirebilirsiniz. Bu doğrulama, sertifikaların alınıp ayrıştırılmasını ve imzayı kontrol etmek için uygun şifreleme çağrılarının yapılmasını gerektirir. Neyse ki bunu yapmak için çok çeşitli dillerde kullanılabilen, hata ayıklaması yapılmış kitaplıklar mevcuttur (bkz. jwt.io).

Kullanıcı profili bilgilerini alma

Kullanıcı hakkında ek profil bilgileri almak için erişim jetonunu (uygulamanızın kimlik doğrulama akışı sırasında aldığı adres) ve OpenID Connect standardını kullanabilirsiniz:

1. OpenID ile uyumlu olmak için kimlik doğrulama isteğinize openid profile kapsam değerlerini eklemeniz gerekir.

   Kullanıcının e-posta adresinin eklenmesini istiyorsanız email şeklinde ek bir kapsam değeri belirtebilirsiniz. Hem profile hem de email değerini belirtmek için kimlik doğrulama isteği URI'nize aşağıdaki parametreyi ekleyebilirsiniz:

   scope=openid%20profile%20email

2. Erişim jetonunuzu yetkilendirme başlığına ekleyin ve kullanıcı bilgisi uç noktasına bir HTTPS GET isteği gönderin. Bu isteği, userinfo_endpoint meta veri değerini kullanarak Discovery dokümanından almanız gerekir. Kullanıcı bilgileri yanıtı, OpenID Connect Standard Claims ve Discovery dokümanının claims_supported meta veri değeri bölümünde açıklandığı gibi, kullanıcı hakkında bilgiler içerir. Kullanıcılar veya kuruluşları belirli alanları sağlamayı ya da belirli alanları tutmayı seçebilir. Bu nedenle, yetkili erişim kapsamlarınız için her alanla ilgili bilgi alamayabilirsiniz.

Keşif dokümanı

OpenID Connect protokolü, kullanıcıların kimliğini doğrulamak ve jeton, kullanıcı bilgisi, ortak anahtarlar dahil olmak üzere kaynak istemek için birden fazla uç nokta kullanılmasını gerektirir.

Uygulamaları basitleştirmek ve esnekliği artırmak için OpenID Connect; OpenID Connect sağlayıcısının yapılandırmasıyla ilgili yetkilendirme, jeton, iptal, kullanıcı bilgileri ve ortak anahtar uç noktaları dahil olmak üzere ayrıntılı bilgiler içeren anahtar/değer çiftleri içeren, iyi bilinen bir konumda bulunan JSON dokümanının kullanılmasına imkan tanır. Google'ın OpenID Connect hizmeti için Discovery dokümanı şu kaynaklardan alınabilir:

https://accounts.google.com/.well-known/openid-configuration

Google'ın OpenID Connect hizmetlerini kullanmak için Discovery dokümanı URI'sini (https://accounts.google.com/.well-known/openid-configuration) uygulamanıza sabit olarak kodlamanız gerekir. Uygulamanız dokümanı getirir, yanıtta önbelleğe alma kuralları uygular ve ardından gerektiğinde uç nokta URI'larını alır. Örneğin, bir kullanıcının kimliğini doğrulamak için kodunuz, Google'a gönderilen kimlik doğrulama isteklerinin temel URI'si olarak authorization_endpoint meta veri değerini (aşağıdaki örnekte https://accounts.google.com/o/oauth2/v2/auth) alır.

Aşağıda bu tür bir belge örneği verilmiştir. Alan adları, OpenID Connect Discovery 1.0'da belirtilen adlardır (anlamları için söz konusu dokümana bakın). Değerler tamamen açıklama amaçlıdır ve gerçek Google Discovery belgesinin son sürümlerinden kopyalanmış olsalar bile değişebilirler:

{
  "issuer": "https://accounts.google.com",
  "authorization_endpoint": "https://accounts.google.com/o/oauth2/v2/auth",
  "device_authorization_endpoint": "https://oauth2.googleapis.com/device/code",
  "token_endpoint": "https://oauth2.googleapis.com/token",
  "userinfo_endpoint": "https://openidconnect.googleapis.com/v1/userinfo",
  "revocation_endpoint": "https://oauth2.googleapis.com/revoke",
  "jwks_uri": "https://www.googleapis.com/oauth2/v3/certs",
  "response_types_supported": [
    "code",
    "token",
    "id_token",
    "code token",
    "code id_token",
    "token id_token",
    "code token id_token",
    "none"
  ],
  "subject_types_supported": [
    "public"
  ],
  "id_token_signing_alg_values_supported": [
    "RS256"
  ],
  "scopes_supported": [
    "openid",
    "email",
    "profile"
  ],
  "token_endpoint_auth_methods_supported": [
    "client_secret_post",
    "client_secret_basic"
  ],
  "claims_supported": [
    "aud",
    "email",
    "email_verified",
    "exp",
    "family_name",
    "given_name",
    "iat",
    "iss",
    "locale",
    "name",
    "picture",
    "sub"
  ],
  "code_challenge_methods_supported": [
    "plain",
    "S256"
  ]
}

Discovery dokümanındaki değerleri önbelleğe alarak HTTP gidiş dönüşten kaçınabilirsiniz. Standart HTTP önbelleğe alma üst bilgileri kullanılır ve bu kurallara uygun hareket edilmelidir.

İstemci kitaplıkları

Aşağıdaki istemci kitaplıkları, popüler çerçevelerle entegre olarak OAuth 2.0'ı uygulamayı kolaylaştırır:

• Java için Google API'leri İstemci Kitaplığı
• Python için Google API'leri İstemci Kitaplığı
• .NET için Google API'leri İstemci Kitaplığı
• Ruby için Google API'leri İstemci Kitaplığı
• PHP için Google API'leri İstemci Kitaplığı
• Google Web Araç Seti için OAuth 2.0 Kitaplığı
• Mac OAuth 2.0 Denetleyicileri için Google Araç Kutusu

OpenID Connect uygunluğu

Google’ın OAuth 2.0 kimlik doğrulama sistemi, OpenID Connect Core spesifikasyonunun gerekli özelliklerini destekler. OpenID Connect ile çalışacak şekilde tasarlanmış tüm istemciler bu hizmetle birlikte çalışmalıdır (OpenID İstek Nesnesi hariç).