Sử dụng OAuth 2.0 cho ứng dụng từ máy chủ đến máy chủ

Tạo JWT

JWT bao gồm ba phần: tiêu đề, tập hợp xác nhận quyền sở hữu và chữ ký. Tiêu đề và tập hợp xác nhận quyền sở hữu là các đối tượng JSON. Các đối tượng JSON này được chuyển đổi tuần tự thành byte UTF-8, sau đó được mã hoá bằng phương thức mã hoá Base64url. Việc mã hoá này giúp bạn có khả năng phục hồi trước những thay đổi về mã hoá do thao tác mã hoá lặp lại. Tiêu đề, tập hợp xác nhận quyền sở hữu và chữ ký được nối với nhau bằng một ký tự dấu chấm (.).

JWT được cấu tạo như sau:

{Base64url encoded header}.{Base64url encoded claim set}.{Base64url encoded signature}

Chuỗi cơ sở cho chữ ký như sau:

{Base64url encoded header}.{Base64url encoded claim set}

Hình thành tiêu đề JWT

Tiêu đề bao gồm hai trường cho biết thuật toán ký và định dạng của câu nhận định. Cả hai trường đều là bắt buộc và mỗi trường chỉ có một giá trị. Khi chúng tôi ra mắt các thuật toán và định dạng khác, tiêu đề này sẽ thay đổi theo.

Tài khoản dịch vụ dựa vào thuật toán RSA SHA-256 và định dạng mã thông báo JWT. Do đó, cách biểu diễn JSON của tiêu đề sẽ như sau:

{"alg":"RS256","typ":"JWT"}

Cách biểu diễn Base64url như sau:

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9

Hình thành nhóm xác nhận quyền sở hữu JWT

Tập hợp thông báo xác nhận quyền sở hữu của JWT chứa thông tin về JWT, bao gồm các quyền được yêu cầu (phạm vi), mục tiêu của mã thông báo, nhà phát hành, thời gian mã thông báo được phát hành và vòng đời của mã thông báo. Hầu hết các trường là bắt buộc. Giống như tiêu đề JWT, nhóm thông báo xác nhận quyền sở hữu JWT là đối tượng JSON và được dùng để tính toán chữ ký.

Thông báo xác nhận quyền sở hữu bắt buộc

Dưới đây là các thông báo xác nhận quyền sở hữu bắt buộc trong tập hợp thông báo xác nhận quyền sở hữu của JWT. Các yêu cầu này có thể xuất hiện theo thứ tự bất kỳ trong thông báo xác nhận quyền sở hữu đã đặt.

Dưới đây là cách trình bày JSON của các trường bắt buộc trong nhóm thông báo xác nhận quyền sở hữu JWT:

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/devstorage.read_only",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

Thông báo xác nhận quyền sở hữu khác

Trong một số trường hợp doanh nghiệp, ứng dụng có thể dùng tính năng uỷ quyền trên toàn miền để thay mặt cho một người dùng cụ thể trong tổ chức. Quyền thực hiện loại mạo danh này phải được cấp trước khi ứng dụng có thể mạo danh người dùng và thường do quản trị viên cấp cao xử lý. Để biết thêm thông tin, hãy xem bài viết Kiểm soát quyền truy cập của API bằng tính năng uỷ quyền trên toàn miền.

Để nhận được mã truy cập cấp cho một ứng dụng quyền truy cập được ủy quyền vào một tài nguyên, hãy thêm địa chỉ email của người dùng trong xác nhận quyền sở hữu JWT làm giá trị của trường sub.

Nếu một ứng dụng không có quyền mạo danh người dùng, thì phản hồi cho yêu cầu mã truy cập có chứa trường sub sẽ là lỗi.

Dưới đây là ví dụ về nhóm thông báo xác nhận quyền sở hữu của JWT bao gồm trường sub:

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "sub": "some.user@example.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

Mã hoá nhóm thông báo xác nhận quyền sở hữu JWT

Giống như tiêu đề JWT, nhóm thông báo xác nhận quyền sở hữu JWT phải được chuyển đổi tuần tự thành UTF-8 và Base64url được mã hoá an toàn. Dưới đây là ví dụ về cách biểu diễn JSON của nhóm Thông báo xác nhận quyền sở hữu JWT:

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

Tính toán chữ ký

Chữ ký web JSON (JWS) là thông số kỹ thuật hướng dẫn cơ chế tạo chữ ký cho JWT. Dữ liệu đầu vào cho chữ ký là mảng byte của nội dung sau:

{Base64url encoded header}.{Base64url encoded claim set}

Bạn phải sử dụng thuật toán ký trong tiêu đề JWT khi tính toán chữ ký. Thuật toán ký duy nhất được Máy chủ uỷ quyền Google OAuth 2.0 hỗ trợ là RSA sử dụng thuật toán băm SHA-256. Điều này được biểu thị dưới dạng RS256 trong trường alg của tiêu đề JWT.

Ký đại diện UTF-8 của đầu vào bằng cách sử dụng SHA256withRSA (còn được gọi là RSASSA-PKCS1-V1_5-SIGN với hàm băm SHA-256) bằng khóa riêng tư thu được từ Google API Console. Kết quả sẽ là một mảng byte.

Sau đó, chữ ký phải được mã hoá bằng Base64url. Tiêu đề, tập hợp xác nhận quyền sở hữu và chữ ký được nối với nhau bằng một ký tự dấu chấm (.). Kết quả là JWT. Thông số này phải như sau (dấu ngắt dòng được thêm vào để rõ ràng):

{Base64url encoded header}.
{Base64url encoded claim set}.
{Base64url encoded signature}

Dưới đây là ví dụ về JWT trước khi mã hoá Base64url:

{"alg":"RS256","typ":"JWT"}.
{
"iss":"761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
"scope":"https://www.googleapis.com/auth/prediction",
"aud":"https://oauth2.googleapis.com/token",
"exp":1328554385,
"iat":1328550785
}.
[signature bytes]

Dưới đây là một ví dụ về JWT đã được ký và sẵn sàng để truyền:

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL29hdXRoMi92NC90b2tlbiIsImV4cCI6MTMyODU1NDM4NSwiaWF0IjoxMzI4NTUwNzg1fQ.UFUt59SUM2_AW4cRU8Y0BYVQsNTo4n7AFsNrqOpYiICDu37vVt-tw38UKzjmUKtcRsLLjrR3gFW3dNDMx_pL9DVjgVHDdYirtrCekUHOYoa1CMR66nxep5q5cBQ4y4u2kIgSvChCTc9pmLLNoIem-ruCecAJYgI9Ks7pTnW1gkOKs0x3YpiLpzplVHAkkHztaXiJdtpBcY1OXyo6jTQCa3Lk2Q3va1dPkh_d--GU2M5flgd8xNBPYw4vxyt0mP59XZlHMpztZt0soSgObf7G3GXArreF_6tpbFsS3z2t5zkEiHuWJXpzcYr5zWTRPDEHsejeBSG8EgpLDce2380ROQ

Tạo yêu cầu mã thông báo truy cập

Sau khi tạo JWT đã ký, ứng dụng có thể dùng JWT để yêu cầu mã truy cập. Yêu cầu mã thông báo truy cập này là một yêu cầu HTTPS POST và nội dung được mã hóa URL. URL xuất hiện bên dưới:

https://oauth2.googleapis.com/token

Các thông số sau đây là bắt buộc trong yêu cầu HTTPS POST:

Dưới đây là tệp kết xuất thô của yêu cầu HTTPS POST sử dụng trong yêu cầu mã truy cập:

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.ixOUGehweEVX_UKXv5BbbwVEdcz6AYS-6uQV6fGorGKrHf3LIJnyREw9evE-gs2bmMaQI5_UbabvI4k-mQE4kBqtmSpTzxYBL1TCd7Kv5nTZoUC1CmwmWCFqT9RE6D7XSgPUh_jF1qskLa2w0rxMSjwruNKbysgRNctZPln7cqQ

Dưới đây là yêu cầu tương tự, sử dụng curl:

curl -d 'grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.RZVpzWygMLuL-n3GwjW1_yhQhrqDacyvaXkuf8HcJl8EtXYjGjMaW5oiM5cgAaIorrqgYlp4DPF_GuncFqg9uDZrx7pMmCZ_yHfxhSCXru3gbXrZvAIicNQZMFxrEEn4REVuq7DjkTMyCMGCY1dpMa8aWfTQFt3Eh7smLchaZsU
' https://oauth2.googleapis.com/token

Xử lý phản hồi

Nếu yêu cầu mã thông báo truy cập và JWT được tạo đúng cách và tài khoản dịch vụ có quyền để thực hiện thao tác, thì phản hồi JSON qua Máy chủ uỷ quyền sẽ bao gồm mã truy cập. Dưới đây là phản hồi mẫu:

{
  "access_token": "1/8xbJqaOZXSUZbHLl5EOtu1pxz3fmmetKx9W8CV4t79M",
  "scope": "https://www.googleapis.com/auth/prediction"
  "token_type": "Bearer",
  "expires_in": 3600
}

Bạn có thể sử dụng lại mã thông báo truy cập trong khoảng thời gian được chỉ định bằng giá trị expires_in.

Khi mã truy cập hết hạn

Mã truy cập do Máy chủ uỷ quyền Google OAuth 2.0 phát hành sẽ hết hạn sau thời hạn do giá trị expires_in cung cấp. Khi một mã truy cập hết hạn, ứng dụng đó sẽ tạo một WWT khác, ký và yêu cầu một mã truy cập khác.