回送 IP 位址流程遷移指南

總覽

我們在 2022 年 2 月 16 日 宣布計畫，採用更安全的 OAuth 流程，讓 Google OAuth 互動更加安全。本指南可協助您瞭解必要的變更，以及如何從回送 IP 位址流程成功遷移至支援的替代方案。

這項防護措施可有效防範網路釣魚和應用程式假冒攻擊，避免您與 Google 的 OAuth 2.0 授權端點互動。

原生 iOS、Android 和 Chrome OAuth 用戶端類型即將淘汰回送 IP 位址流程，但電腦版應用程式會繼續支援。

判斷您是否受到影響

檢查 OAuth 用戶端 ID 類型

前往 Google API Console 的 Credentials page ，並在「OAuth 2.0 用戶端 ID」區段下方查看 OAuth 用戶端 ID 類型。其為以下任一種：網頁應用程式、Android、iOS、通用 Windows 平台 (UWP)、Chrome 應用程式、TV 和有限輸入裝置、電腦版應用程式。

如果您的用戶端類型為 Android、Chrome 應用程式或 iOS，且您使用的是回送 IP 位址流程，請繼續下一個步驟。

如果您在電腦版應用程式 OAuth 用戶端上使用回送 IP 位址流程，則不必採取任何行動，因為系統會繼續支援該 OAuth 用戶端類型的使用情況。

如何判斷應用程式是否使用回送 IP 位址流程

檢查應用程式程式碼或傳出網路呼叫 (如果應用程式使用 OAuth 程式庫)，判斷應用程式發出的 Google OAuth 授權要求是否使用回送重新導向 URI 值。

檢查應用程式程式碼

https://accounts.google.com/o/oauth2/v2/auth?
redirect_uri=http://localhost:3000&
response_type=code&
scope=<SCOPES>&
state=<STATE>&
client_id=<CLIENT_ID>

檢查撥出網路呼叫

https://accounts.google.com/o/oauth2/v2/auth?
redirect_uri=http://localhost:3000&
response_type=code&
scope=<SCOPES>&
state=<STATE>&
client_id=<CLIENT_ID>

遷移至支援的替代方案

行動用戶端 (Android / iOS)

如果您判斷應用程式使用回送 IP 位址流程，搭配 Android 或 iOS OAuth 用戶端類型，則應改用 Google 登入行動 SDK (Android、iOS)。

這個 SDK 可讓您輕鬆存取 Google API，並處理所有對 Google OAuth 2.0 授權端點的呼叫。

以下說明文件連結將說明如何在不使用回送 IP 位址重新導向 URI 的情況下，使用 Google 登入 SDK 存取 Google API。

在 Android 裝置上存取 Google API

伺服器端 (離線) 存取

Task<GoogleSignInAccount> task = GoogleSignIn.getSignedInAccountFromIntent(data);
try {
  GoogleSignInAccount account = task.getResult(ApiException.class);
  
  // request a one-time authorization code that your server exchanges for an
  // access token and sometimes refresh token
  String authCode = account.getServerAuthCode();
  
  // Show signed-in UI
  updateUI(account);

  // TODO(developer): send code to server and exchange for access/refresh/ID tokens
} catch (ApiException e) {
  Log.w(TAG, "Sign-in failed", e);
  updateUI(null);
}

請參閱伺服器端存取權指南，瞭解如何從伺服器端存取 Google API。

在 iOS 應用程式中存取 Google API

用戶端存取權

以下範例說明如何在 iOS 上存取用戶端的 Google API。

user.authentication.do { authentication, error in
  guard error == nil else { return }
  guard let authentication = authentication else { return }
  
  // Get the access token to attach it to a REST or gRPC request.
  let accessToken = authentication.accessToken
  
  // Or, get an object that conforms to GTMFetcherAuthorizationProtocol for
  // use with GTMAppAuth and the Google APIs client library.
  let authorizer = authentication.fetcherAuthorizer()
}

使用存取權杖呼叫 API，方法是將存取權杖加入 REST 或 gRPC 要求 (Authorization: Bearer ACCESS_TOKEN) 的標頭，或是搭配使用擷取器授權者 (GTMFetcherAuthorizationProtocol) 與 REST 適用的 Google API 用戶端程式庫。

請參閱用戶端存取權指南，瞭解如何在用戶端存取 Google API。在用戶端存取 Google API 的方法。

伺服器端 (離線) 存取

GIDSignIn.sharedInstance.signIn(with: signInConfig, presenting: self) { user, error in
  guard error == nil else { return }
  guard let user = user else { return }
  
  // request a one-time authorization code that your server exchanges for
  // an access token and refresh token
  let authCode = user.serverAuthCode
}

請參閱伺服器端存取指南，瞭解如何從伺服器端存取 Google API。

Chrome 應用程式用戶端

如果您確定應用程式會在 Chrome 應用程式用戶端中使用回送 IP 位址流程，請改用 Chrome Identity API。

以下範例說明如何在不使用回送 IP 位址重新導向 URI 的情況下，取得所有使用者聯絡人。

window.onload = function() {
  document.querySelector('button').addEventListener('click', function() {

  
  // retrieve access token
  chrome.identity.getAuthToken({interactive: true}, function(token) {
  
  // ..........


  // the example below shows how to use a retrieved access token with an appropriate scope
  // to call the Google People API contactGroups.get endpoint

  fetch(
    'https://people.googleapis.com/v1/contactGroups/all?maxMembers=20&key=API_KEY',
    init)
    .then((response) => response.json())
    .then(function(data) {
      console.log(data)
    });
   });
 });
};

如要進一步瞭解如何存取驗證使用者身分，以及如何透過 Chrome Identity API 呼叫 Google 端點，請參閱 Chrome Identity API 指南。