Bant Dışı (OOB) akışı Taşıma Rehberi

Genel bakış

16 Şubat 2022'de, daha güvenli OAuth akışları kullanarak Google OAuth etkileşimlerini daha güvenli hale getirmeyi planladığımızı duyurmuştuk. Bu kılavuz, OAuth bant dışı (OOB) akışından desteklenen alternatiflere başarıyla geçiş yapmak için gerekli değişiklikleri ve adımları anlamanıza yardımcı olur.

Bu önlem, Google'ın OAuth 2.0 yetkilendirme uç noktalarıyla etkileşimler sırasında kimlik avı ve uygulama kimliğine bürünme saldırılarına karşı koruyucu bir önlemdir.

OOB akışı tüm istemci türleri (ör. web uygulamaları, Android, iOS, Evrensel Windows Platformu (UWP), Chrome uygulamaları, TV'ler ve sınırlı giriş cihazları, Masaüstü uygulamaları) için kullanımdan kaldırılıyor.

Bu durumdan etkilenip etkilenmediğinizi belirleyin

Bu kullanımdan kaldırma yalnızca üretim uygulamaları (yayınlanma durumu Üretimde olarak ayarlanmış uygulamalar) için geçerlidir. Akış, Test yayınlama durumu olan uygulamalar için çalışmaya devam eder.

Google API Console öğesinin OAuth Consent Screen pagebölümünde yayınlama durumunuzu inceleyin ve yayınlama durumu "Üretimde" olan bir projede OOB akışını kullanıyorsanız sonraki adıma geçin.

Uygulamanızın OOB akışını kullanıp kullanmadığını belirleme

Uygulamanızın yaptığı Google OAuth yetkilendirme isteğinin bir OOB yönlendirme URI değeri kullanıp kullanmadığını belirlemek için uygulama kodunuzu veya giden ağ çağrısını (uygulamanız OAuth kitaplığı kullanıyorsa) inceleyin.

Uygulama kodunuzu inceleyin

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
scope=<SCOPES>&
state=<STATE>&
redirect_uri=urn:ietf:wg:oauth:2.0:oob&
client_id=<CLIENT_ID>

Giden ağ çağrısını denetle

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
scope=<SCOPES>&
state=<STATE>&
redirect_uri=urn:ietf:wg:oauth:2.0:oob&
client_id=<CLIENT_ID>

Güvenli bir alternatife geçiş yapın

Mobil İstemciler (Android / iOS)

Uygulamanızın OOB akışını bir Android veya iOS OAuth istemci türünde kullandığını tespit ederseniz Google ile Oturum Açma mobil SDK'larımızı (Android, iOS) kullanmaya geçmeniz gerekir.

SDK, Google API'lerine erişimi kolaylaştırır ve Google'ın OAuth 2.0 yetkilendirme uç noktalarına yapılan tüm çağrıları işler.

Aşağıdaki belge bağlantıları, Google API'lerine OOB yönlendirme URI'si kullanmadan erişmek için Google ile Oturum Açma SDK'larının nasıl kullanılacağı hakkında bilgi sağlar.

Android'de Google API'lerine erişme

Sunucu Tarafı (çevrimdışı) erişim

Task<GoogleSignInAccount> task = GoogleSignIn.getSignedInAccountFromIntent(data);
try {
  GoogleSignInAccount account = task.getResult(ApiException.class);
  
  // request a one-time authorization code that your server exchanges for an
  // access token and sometimes refresh token
  String authCode = account.getServerAuthCode();
  
  // Show signed-in UI
  updateUI(account);

  // TODO(developer): send code to server and exchange for access/refresh/ID tokens
} catch (ApiException e) {
  Log.w(TAG, "Sign-in failed", e);
  updateUI(null);
}

Sunucu tarafında Google API'lerine nasıl erişeceğinizi öğrenmek için sunucu tarafı erişim kılavuzunu inceleyin.

iOS Uygulamasında Google API'lerine Erişme

İstemci tarafı erişim

Aşağıdaki örnekte, iOS'te istemci tarafında Google API'lerine nasıl erişileceği gösterilmektedir.

user.authentication.do { authentication, error in
  guard error == nil else { return }
  guard let authentication = authentication else { return }
  
  // Get the access token to attach it to a REST or gRPC request.
  let accessToken = authentication.accessToken
  
  // Or, get an object that conforms to GTMFetcherAuthorizationProtocol for
  // use with GTMAppAuth and the Google APIs client library.
  let authorizer = authentication.fetcherAuthorizer()
}

Erişim jetonunu, REST veya gRPC isteğinin başlığına (Authorization: Bearer ACCESS_TOKEN) ekleyerek ya da REST için Objective-C için Google API'leri istemci kitaplığıyla birlikte alıcı yetkilendiriciyi (GTMFetcherAuthorizationProtocol) kullanarak API'yi çağırmak için erişim jetonunu kullanın.

İstemci tarafındaki Google API'lerine nasıl erişeceğinizi öğrenmek için istemci tarafı erişim kılavuzunu inceleyin. Google API'larına erişme hakkında daha fazla bilgi edinin.

Sunucu tarafı (çevrimdışı) erişim

GIDSignIn.sharedInstance.signIn(with: signInConfig, presenting: self) { user, error in
  guard error == nil else { return }
  guard let user = user else { return }
  
  // request a one-time authorization code that your server exchanges for
  // an access token and refresh token
  let authCode = user.serverAuthCode
}

Sunucu tarafında Google API'lerine nasıl erişeceğinizi öğrenmek için sunucu tarafı erişim kılavuzunu inceleyin.

Chrome Uygulama İstemcisi

Uygulamanızın Chrome uygulama istemcisinde OOB akışını kullandığını belirlerseniz Chrome Identity API'yi kullanmaya geçmeniz gerekir.

Aşağıdaki örnekte, OOB yönlendirme URI'sı kullanılmadan tüm kullanıcı kişilerinin nasıl alınacağı gösterilmektedir.

window.onload = function() {
  document.querySelector('button').addEventListener('click', function() {

  
  // retrieve access token
  chrome.identity.getAuthToken({interactive: true}, function(token) {
  
  // ..........


  // the example below shows how to use a retrieved access token with an appropriate scope
  // to call the Google People API contactGroups.get endpoint

  fetch(
    'https://people.googleapis.com/v1/contactGroups/all?maxMembers=20&key=API_KEY',
    init)
    .then((response) => response.json())
    .then(function(data) {
      console.log(data)
    });
   });
 });
};

Kullanıcıların kimliğini doğrulama ve Chrome Identity API ile Google uç noktalarını çağırma hakkında daha fazla bilgi edinmek için Chrome Identity API kılavuzunu inceleyin.

Web Uygulaması

Uygulamanızın bir web uygulaması için OOB akışını kullandığını tespit ederseniz Google API istemci kitaplıklarımızdan birini kullanmaya geçmeniz gerekir. Farklı programlama dilleri için istemci kitaplıkları burada listelenmiştir.

Kitaplıklar, Google API'lerine erişmeyi ve Google uç noktalarına yapılan tüm çağrıları yönetmeyi kolaylaştırır.

Sunucu tarafı (çevrimdışı) erişim

Aşağıdaki kod snippet'i, bir kullanıcının Google Drive dosyalarını OOB yönlendirme URI'si kullanmadan sunucu tarafında listelemek için Google Drive API'nin kullanıldığı bir NodeJS örneğini gösterir.

async function main() {
  const server = http.createServer(async function (req, res) {

  if (req.url.startsWith('/oauth2callback')) {
    let q = url.parse(req.url, true).query;

    if (q.error) {
      console.log('Error:' + q.error);
    } else {
      
      // Get access and refresh tokens (if access_type is offline)
      let { tokens } = await oauth2Client.getToken(q.code);
      oauth2Client.setCredentials(tokens);

      // Example of using Google Drive API to list filenames in user's Drive.
      const drive = google.drive('v3');
      drive.files.list({
        auth: oauth2Client,
        pageSize: 10,
        fields: 'nextPageToken, files(id, name)',
      }, (err1, res1) => {
        // TODO(developer): Handle response / error.
      });
    }
  }
}

Sunucu tarafında Google API'lerine nasıl erişeceğinizi öğrenmek için sunucu tarafı web uygulaması kılavuzunu inceleyin.

İstemci Tarafı erişim

Aşağıdaki JavaScript kod snippet'inde, kullanıcının takvim etkinliklerine istemci tarafında erişmek için Google API'nin kullanılmasına ilişkin bir örnek gösterilmektedir.

// initTokenClient() initializes a new token client with your
// web app's client ID and the scope you need access to

const client = google.accounts.oauth2.initTokenClient({
  client_id: 'YOUR_GOOGLE_CLIENT_ID',
  scope: 'https://www.googleapis.com/auth/calendar.readonly',
  
  // callback function to handle the token response
  callback: (tokenResponse) => {
    if (tokenResponse && tokenResponse.access_token) { 
      gapi.client.setApiKey('YOUR_API_KEY');
      gapi.client.load('calendar', 'v3', listUpcomingEvents);
    }
  },
});

function listUpcomingEvents() {
  gapi.client.calendar.events.list(...);
}

İstemci tarafında Google API'lerine nasıl erişileceğini öğrenmek için istemci tarafı web uygulaması kılavuzunu inceleyin.

Masaüstü istemcisi

Uygulamanızın bir masaüstü istemcisinde OOB akışını kullandığını belirlerseniz geri döngü IP adresi (localhost veya 127.0.0.1) akışını kullanmaya geçmeniz gerekir.