كيفية التعامل مع الأذونات الدقيقة

خدمات هوية Google

يؤدي مقتطف رمز مكتبة JavaScript التالي لخدمات Google Identity Services إلى إعداد TokenClient باستخدام نطاقات متعددة لا تتيح تسجيل الدخول. سيتم عرض شاشة الموافقة الدقيقة على الأذونات عندما يطلب تطبيق الويب الحصول على إذن من المستخدمين.

const client = google.accounts.oauth2.initTokenClient({
  client_id: 'YOUR_CLIENT_ID',
  scope: 'https://www.googleapis.com/auth/calendar.readonly \
  https://www.googleapis.com/auth/contacts.readonly',
  callback: (response) => {
    ...
  },
});

Python

يستخدم مقتطف الرمز التالي وحدة google-auth-oauthlib.flow لإنشاء طلب التفويض. وتتضمّن المعلَمة scope نطاقَين لا يتضمّنان إمكانية تسجيل الدخول. سيتم عرض شاشة الموافقة الدقيقة على الأذونات عندما يطلب تطبيق الويب الحصول على إذن من المستخدمين.

import google.oauth2.credentials
import google_auth_oauthlib.flow

# Use the client_secret.json file to identify the application requesting
# authorization. The client ID (from that file) and access scopes are required.
flow = google_auth_oauthlib.flow.Flow.from_client_secrets_file(
    'client_secret.json',
    scopes=['https://www.googleapis.com/auth/calendar.readonly',
                    'https://www.googleapis.com/auth/contacts.readonly'])

Node.js

ينشئ مقتطف الرمز التالي عنصر google.auth.OAuth2 يحدد المَعلمات في طلب التفويض الذي تحتوي مَعلمة scope الخاصة به على نطاقين لا يتضمّنان إمكانية تسجيل الدخول. سيتم عرض شاشة الموافقة على الأذونات الدقيقة عندما يطلب تطبيق الويب الحصول على إذن من المستخدمين.

const {google} = require('googleapis');

/**
  * To use OAuth2 authentication, we need access to a CLIENT_ID, CLIENT_SECRET, AND REDIRECT_URI
  * from the client_secret.json file. To get these credentials for your application, visit
  * https://console.cloud.google.com/apis/credentials.
  */
const oauth2Client = new google.auth.OAuth2(
  YOUR_CLIENT_ID,
  YOUR_CLIENT_SECRET,
  YOUR_REDIRECT_URL
);

// Access scopes for read-only Calendar and Contacts.
const scopes = [
  'https://www.googleapis.com/auth/calendar.readonly',
  'https://www.googleapis.com/auth/contacts.readonly']
];

// Generate a url that asks permissions
const authorizationUrl = oauth2Client.generateAuthUrl({
  // 'online' (default) or 'offline' (gets refresh_token)
  access_type: 'offline',
  /** Pass in the scopes array defined above.
    * Alternatively, if only one scope is needed, you can pass a scope URL as a string */
  scope: scopes,
  // Enable incremental authorization. Recommended as best practices.
  include_granted_scopes: true
});

الكل أو لا شيء

ينقر المستخدمون على الزر لبدء عملية الحصول على الإذن. ويفترض مقتطف الرمز أنّه سيتم عرض شاشة طلب الموافقة "الكل أو لا شيء" للمستخدمين للنطاقَين المحدّدَين في ملف manifest.json. ويتجاهل التحقق من النطاقات التي منحها المستخدمون.

oauth.js

...
document.querySelector('button').addEventListener('click', function () {
  chrome.identity.getAuthToken({ interactive: true },
      function (token) {
          if (token === undefined) {
            // User didn't authorize both scopes.
            // Updating the UX and application accordingly
            ...
          } else {
            // User authorized both or one of the scopes.
            // It neglects to check which scopes users granted and assumes users granted all scopes.

            // Calling the APIs, etc.
            ...
          }
      });
});

النطاقات الأصغر

اختيار أصغر مجموعة من النطاقات المطلوبة

يجب أن يطلب التطبيق فقط أصغر مجموعة من النطاقات المطلوبة. وننصحك بأن يطلب تطبيقك نطاقًا واحدًا في كل مرة يكون فيها ذلك مطلوبًا لإكمال مهمة.

في هذا المثال، يُفترض أن يكون كلا النطاقَين المذكورَين في ملف manifest.json أصغر مجموعة من النطاقات المطلوبة. يستخدم الملف oauth.js واجهة Chrome Identity API لبدء عملية التفويض من خلال Google. عليك الموافقة على تفعيل الأذونات الدقيقة، ليتمكّن المستخدمون من التحكّم بشكل أكبر في منح الأذونات لتطبيقك. يجب أن يتعامل تطبيقك بشكل صحيح مع استجابة المستخدمين عن طريق التحقق من النطاقات التي يسمح بها المستخدمون.

oauth.js

...
document.querySelector('button').addEventListener('click', function () {
  chrome.identity.getAuthToken({ interactive: true, enableGranularPermissions: true },
      function (token, grantedScopes) {
          if (token === undefined) {
            // User didn't authorize any scope.
            // Updating the UX and application accordingly
            ...
          } else {
            // User authorized the request. Now, check which scopes were granted.
            if (grantedScopes.includes('https://www.googleapis.com/auth/calendar.readonly'))
            {
              // User authorized Calendar read permission.
              // Calling the APIs, etc.
              ...
            }
            else
            {
              // User didn't authorize Calendar read permission.
              // Update UX and application accordingly
              ...
            }

            if (grantedScopes.includes('https://www.googleapis.com/auth/contacts.readonly'))
            {
              // User authorized Contacts read permission.
              // Calling the APIs, etc.
              ...
            }
            else
            {
              // User didn't authorize Contacts read permission.
              // Update UX and application accordingly
              ...
            }
          }
      });
});

الكل أو لا شيء

تتم إعادة توجيه المستخدمين إلى عنوان URL للتفويض. يفترض مقتطف الرمز أنّه سيتم عرض شاشة طلب الموافقة "الكل أو لا شيء" للمستخدمين للنطاقَين المحدّدَين في نطاق scopes. ويتجاهل التحقق من النطاقات التي منحها المستخدمون.

main.js

...
const oauth2Client = new google.auth.OAuth2(
  YOUR_CLIENT_ID,
  YOUR_CLIENT_SECRET,
  YOUR_REDIRECT_URL
);

// Access scopes for two non-Sign-In scopes - Google Calendar and Contacts
const scopes = [
  'https://www.googleapis.com/auth/contacts.readonly',
  'https://www.googleapis.com/auth/calendar.readonly'
];

// Generate a url that asks permissions for the Google Calendar and Contacts scopes
const authorizationUrl = oauth2Client.generateAuthUrl({
  // 'online' (default) or 'offline' (gets refresh_token)
  access_type: 'offline',
  // Pass in the scopes array defined above
  scope: scopes,
  // Enable incremental authorization. Recommended as best practices.
  include_granted_scopes: true
});

async function main() {
  const server = http.createServer(async function (req, res) {
    // Example on redirecting user to Google OAuth 2.0 server.
    if (req.url == '/') {
      res.writeHead(301, { "Location": authorizationUrl });
    }
    // Receive the callback from Google OAuth 2.0 server.
    if (req.url.startsWith('/oauth2callback')) {
      // Handle the Google OAuth 2.0 server response
      let q = url.parse(req.url, true).query;

      if (q.error) {
        // User didn't authorize both scopes.
        // Updating the UX and application accordingly
        ...
      } else {
        // User authorized both or one of the scopes.
        // It neglects to check which scopes users granted and assumes users granted all scopes.

        // Get access and refresh tokens (if access_type is offline)
        let { tokens } = await oauth2Client.getToken(q.code);
        // Calling the APIs, etc.
        ...
      }
    }
    res.end();
  }).listen(80);
}

أصغر نطاق

اختيار أصغر مجموعة من النطاقات المطلوبة

يجب أن يطلب التطبيق فقط أصغر مجموعة من النطاقات المطلوبة. وننصحك بأن يطلب تطبيقك نطاقًا واحدًا في كل مرة يكون فيها ذلك مطلوبًا لإكمال مهمة. عندما يطلب التطبيق النطاقات، يجب استخدام التفويض الإضافي لتجنُّب إدارة عدة رموز دخول.

إذا كان يجب أن يطلب تطبيقك نطاقات متعددة لا تسمح بتسجيل الدخول، عليك دائمًا استخدام التفويض المتزايد عند طلب والتحقّق من النطاقات التي منحها المستخدمون.

في هذا المثال، يُفترض أن يكون كلا النطاقَين المذكورَين مطلوبَين حتى يعمل التطبيق بشكل سليم. عليك الموافقة على تفعيل الأذونات الدقيقة، ليتمكّن المستخدمون من التحكّم بشكل أكبر في منح الأذونات لتطبيقك. من المفترض أن يتعامل تطبيقك بشكل صحيح مع استجابة المستخدمين من خلال فحص النطاقات التي سمحوا بها.

main.js

...
const oauth2Client = new google.auth.OAuth2(
  YOUR_CLIENT_ID,
  YOUR_CLIENT_SECRET,
  YOUR_REDIRECT_URL
);

// Access scopes for two non-Sign-In scopes - Google Calendar and Contacts
const scopes = [
  'https://www.googleapis.com/auth/contacts.readonly',
  'https://www.googleapis.com/auth/calendar.readonly'
];

// Generate a url that asks permissions for the Google Calendar and Contacts scopes
const authorizationUrl = oauth2Client.generateAuthUrl({
  // 'online' (default) or 'offline' (gets refresh_token)
  access_type: 'offline',
  // Pass in the scopes array defined above
  scope: scopes,
  // Enable incremental authorization. Recommended as best practices.
  include_granted_scopes: true,
  // Set to true to enable more granular permissions for Google OAuth 2.0 client IDs created before 2019.
  // No effect for newer Google OAuth 2.0 client IDs, since more granular permissions is always enabled for them.
  enable_granular_consent: true
});

async function main() {
  const server = http.createServer(async function (req, res) {
    // Redirect users to Google OAuth 2.0 server.
    if (req.url == '/') {
      res.writeHead(301, { "Location": authorizationUrl });
    }
    // Receive the callback from Google OAuth 2.0 server.
    if (req.url.startsWith('/oauth2callback')) {
      // Handle the Google OAuth 2.0 server response
      let q = url.parse(req.url, true).query;

      if (q.error) {
        // User didn't authorize both scopes.
        // Updating the UX and application accordingly
        ...
      } else {
        // Get access and refresh tokens (if access_type is offline)
        let { tokens } = await oauth2Client.getToken(q.code);
        oauth2Client.setCredentials(tokens);

        // User authorized the request. Now, check which scopes were granted.
        if (tokens.scope.includes('https://www.googleapis.com/auth/calendar.readonly'))
        {
          // User authorized Calendar read permission.
          // Calling the APIs, etc.
          ...
        }
        else
        {
          // User didn't authorize Calendar read permission.
          // Calling the APIs, etc.
          ...
        }

        // Check which scopes user granted the permission to application
        if (tokens.scope.includes('https://www.googleapis.com/auth/contacts.readonly'))
        {
          // User authorized Contacts read permission.
          // Calling the APIs, etc.
          ...
        }
        else
        {
          // User didn't authorize Contacts read permission.
          // Update UX and application accordingly
          ...
        }
      }
    }
    res.end();
  }).listen(80);
}