Tuân thủ các chính sách về OAuth 2.0

Hướng dẫn này trình bày cách tuân thủ các vấn đề phổ biến nhất mà nhà phát triển gặp phải khi chuẩn bị ứng dụng cho phiên bản chính thức.

Tổng quan

Khi đã sẵn sàng triển khai giải pháp đã triển khai ngoài môi trường phát triển cho người dùng ứng dụng, bạn có thể cần thực hiện thêm các bước để tuân thủ Chính sách OAuth 2.0 của Google. Trong hướng dẫn này, chúng tôi nêu rõ cách tuân thủ các vấn đề phổ biến nhất mà nhà phát triển gặp phải khi chuẩn bị phát hành ứng dụng công khai. Nhờ đó, bạn có thể tiếp cận đối tượng lớn nhất có thể mà ít gặp lỗi.

Sử dụng các dự án riêng biệt cho hoạt động thử nghiệm và phát hành chính thức

Chính sách OAuth của Google yêu cầu các dự án riêng biệt cho mục đích thử nghiệm và phát hành công khai. Một số chính sách và yêu cầu chỉ áp dụng cho ứng dụng chính thức. Bạn có thể cần tạo và định cấu hình một dự án riêng biệt, trong đó có các ứng dụng OAuth tương ứng với phiên bản phát hành công khai của ứng dụng mà tất cả Tài khoản Google đều có thể sử dụng.

Ứng dụng Google OAuth được dùng trong môi trường thực tế giúp cung cấp một môi trường thu thập dữ liệu và lưu trữ dữ liệu ổn định, dễ dự đoán và an toàn hơn so với các ứng dụng OAuth tương tự dùng để kiểm thử hoặc gỡ lỗi cùng một ứng dụng. Dự án chính thức của bạn có thể gửi yêu cầu xác minh và do đó phải tuân thủ các yêu cầu bổ sung đối với phạm vi API cụ thể, có thể bao gồm cả quy trình đánh giá bảo mật của bên thứ ba.

  1. Chuyển đến Google API Console. Nhấp vào Tạo dự án, nhập tên rồi nhấp vào Tạo.
  2. Xem xét các ứng dụng OAuth trong dự án này có thể liên kết với cấp thử nghiệm của bạn. Nếu có thể, hãy tạo các ứng dụng OAuth tương tự cho ứng dụng chính thức trong dự án chính thức của bạn.
  3. Bật mọi API mà ứng dụng của bạn sử dụng.
  4. Xem lại cấu hình Màn hình xin phép bằng OAuth cho dự án mới trong Trang xây dựng thương hiệu của Cloud Console.

Ứng dụng OAuth của Google dùng trong môi trường thực tế không được chứa môi trường thử nghiệm, URI chuyển hướng hoặc nguồn gốc JavaScript chỉ dành cho bạn hoặc nhóm phát triển của bạn. Sau đây là một số ví dụ:

  • Máy chủ thử nghiệm của từng nhà phát triển
  • Phiên bản thử nghiệm hoặc phiên bản phát hành trước của ứng dụng

Duy trì danh sách người liên hệ có liên quan cho dự án

Google và các API riêng lẻ mà bạn bật có thể cần liên hệ với bạn về những thay đổi đối với dịch vụ hoặc cấu hình mới cần thiết cho dự án và ứng dụng của bạn. Xem danh sách IAM của dự án để đảm bảo những người có liên quan trong nhóm của bạn có quyền chỉnh sửa hoặc xem cấu hình dự án. Những tài khoản này cũng có thể nhận được email về những thay đổi bắt buộc đối với dự án của bạn.

Vai trò chứa một tập hợp các quyền cho phép bạn thực hiện các hành động cụ thể đối với tài nguyên của dự án. Người chỉnh sửa dự án có quyền thực hiện các hành động sửa đổi trạng thái, chẳng hạn như khả năng thay đổi màn hình xin phép bằng OAuth của dự án. Chủ sở hữu dự án có tất cả quyền của người chỉnh sửa có thể thêm hoặc xoá các tài khoản liên kết với dự án hoặc xoá dự án. Chủ sở hữu dự án cũng có thể cung cấp thông tin về lý do có thể cần thiết lập thông tin thanh toán. Chủ sở hữu dự án có thể thiết lập thông tin thanh toán cho một dự án sử dụng API có tính phí.

Bạn phải luôn cập nhật thông tin về chủ sở hữu và người chỉnh sửa dự án. Bạn có thể thêm nhiều tài khoản có liên quan vào dự án để đảm bảo quyền truy cập liên tục vào dự án và hoạt động bảo trì liên quan. Chúng tôi gửi email đến những tài khoản đó khi có thông báo về dự án của bạn hoặc thông tin cập nhật về các dịch vụ của chúng tôi. Quản trị viên tổ chức Google Cloud phải đảm bảo rằng mọi dự án trong tổ chức của họ đều có thông tin liên hệ có thể liên lạc được. Nếu chúng tôi không có thông tin liên hệ mới nhất cho dự án của bạn, thì bạn có thể bỏ lỡ những thông báo quan trọng yêu cầu bạn phải hành động.

Nêu chính xác danh tính của bạn

Cung cấp tên ứng dụng hợp lệ và biểu trưng (không bắt buộc) để hiển thị cho người dùng. Thông tin thương hiệu này phải thể hiện chính xác danh tính của ứng dụng. Thông tin về thương hiệu của ứng dụng được định cấu hình trên trang Thương hiệu OAuth.

Đối với ứng dụng chính thức, thông tin thương hiệu được xác định trong màn hình xin phép bằng OAuth phải được xác minh trước khi hiển thị cho người dùng. Người dùng có thể sẽ dễ cấp quyền truy cập cho ứng dụng của bạn hơn sau khi ứng dụng hoàn tất quy trình xác minh thương hiệu. Thông tin cơ bản về ứng dụng, bao gồm tên, trang chủ, điều khoản dịch vụ và chính sách quyền riêng tư của ứng dụng, sẽ xuất hiện trên màn hình cấp quyền khi người dùng xem lại các quyền hiện có của họ hoặc khi quản trị viên Google Workspace xem xét việc sử dụng ứng dụng của tổ chức họ.

Google có thể thu hồi hoặc tạm ngưng quyền truy cập vào Dịch vụ API của Google cũng như các sản phẩm và dịch vụ khác của Google đối với những ứng dụng trình bày sai danh tính hoặc tìm cách lừa gạt người dùng.

Chỉ yêu cầu những phạm vi bạn cần

Trong quá trình phát triển ứng dụng, bạn có thể đã sử dụng một phạm vi mẫu do API cung cấp để tạo bằng chứng về khái niệm trong ứng dụng nhằm tìm hiểu thêm về các tính năng và chức năng của API. Các phạm vi mẫu này thường yêu cầu nhiều thông tin hơn mức cần thiết cho quá trình triển khai cuối cùng của ứng dụng, vì các phạm vi này cung cấp thông tin toàn diện về mọi hành động có thể thực hiện cho một API cụ thể. Ví dụ: phạm vi mẫu có thể yêu cầu quyền đọc, ghi và xoá trong khi ứng dụng của bạn chỉ yêu cầu quyền đọc. Yêu cầu các quyền liên quan chỉ giới hạn ở thông tin quan trọng cần thiết để triển khai ứng dụng của bạn.

Xem tài liệu tham khảo về các điểm cuối API mà ứng dụng của bạn gọi và lưu ý các phạm vi mà các điểm cuối đó yêu cầu để truy cập vào dữ liệu liên quan mà ứng dụng của bạn cần. Xem lại mọi hướng dẫn uỷ quyền mà API cung cấp và mô tả chi tiết hơn về phạm vi của các hướng dẫn đó để bao gồm cả trường hợp sử dụng phổ biến nhất. Chọn quyền truy cập dữ liệu tối thiểu mà ứng dụng của bạn cần để hỗ trợ các tính năng liên quan.

Để biết thêm thông tin về yêu cầu này, hãy đọc phần Chỉ yêu cầu các phạm vi mà bạn cần trong Chính sách OAuth 2.0, cùng với phần Yêu cầu các quyền liên quan trong Chính sách dữ liệu người dùng của Dịch vụ API của Google.

Gửi ứng dụng chính thức sử dụng phạm vi không nhạy cảm hoặc không bị hạn chế để xác minh

Tính năng Đăng nhập bằng Google không yêu cầu các phạm vi nhạy cảm và bị hạn chế trong khi xác thực người dùng. Nếu ứng dụng của bạn chỉ sử dụng tính năng Đăng nhập bằng Google để xác thực, thì bạn phải gửi ứng dụng để xác minh thương hiệu. Bạn có thể gửi yêu cầu xác minh trong Google Cloud Console từ Trang thương hiệu. Việc xác minh này là cần thiết để hiển thị các thành phần thương hiệu cho ứng dụng (bao gồm Tên, Biểu trưng, Chính sách quyền riêng tư, Điều khoản dịch vụ và phạm vi) trên Màn hình xin phép.

Bạn nên đảm bảo ứng dụng của mình tuân thủ nguyên tắc sử dụng thương hiệu chính thức khi đặt nút Đăng nhập.

Chỉ sử dụng miền mà bạn sở hữu

Quy trình xác minh màn hình xin phép bằng OAuth của Google yêu cầu xác minh tất cả miền liên kết với trang chủ, chính sách quyền riêng tư, điều khoản dịch vụ, URI chuyển hướng được uỷ quyền hoặc nguồn gốc JavaScript được uỷ quyền của dự án. Xem danh sách các miền mà ứng dụng của bạn đang sử dụng, được tóm tắt trong phần Miền được uỷ quyền của trình chỉnh sửa màn hình xin phép bằng OAuth, đồng thời xác định mọi miền mà bạn không sở hữu và do đó không thể xác minh. Để xác minh quyền sở hữu đối với miền được uỷ quyền của dự án, hãy sử dụng Google Search Console. Sử dụng Tài khoản Google được liên kết với dự án API Console của bạn với tư cách là Chủ sở hữu hoặc Người chỉnh sửa.

Nếu dự án của bạn sử dụng một nhà cung cấp dịch vụ có miền chung, dùng chung, bạn nên bật các cấu hình cho phép sử dụng miền của riêng bạn. Một số nhà cung cấp còn có dịch vụ liên kết dịch vụ của họ với một miền con của miền mà bạn đã sở hữu.

Lưu trữ trang chủ cho ứng dụng phát hành công khai

Mỗi ứng dụng chính thức sử dụng OAuth 2.0 phải có một trang chủ mà mọi người đều có thể truy cập. Người dùng tiềm năng của ứng dụng có thể truy cập vào trang chủ để tìm hiểu thêm về các tính năng và chức năng mà ứng dụng cung cấp. Người dùng hiện tại có thể xem lại danh sách các quyền hiện có và truy cập vào trang chủ của ứng dụng để nhớ lại việc họ tiếp tục sử dụng dịch vụ của bạn.

Trang chủ của ứng dụng phải có nội dung mô tả chức năng của ứng dụng, cũng như các đường liên kết đến chính sách quyền riêng tư và điều khoản dịch vụ (không bắt buộc). Trang chủ phải nằm trên một miền đã xác minh thuộc quyền sở hữu của bạn.

Sử dụng URI chuyển hướng an toàn và nguồn gốc JavaScript

Ứng dụng OAuth 2.0 cho ứng dụng web phải bảo mật dữ liệu của mình bằng cách sử dụng URI chuyển hướng HTTPS và nguồn gốc JavaScript, chứ không phải HTTP thuần tuý. Google có thể từ chối các yêu cầu OAuth không bắt nguồn từ hoặc không phân giải thành một bối cảnh bảo mật.

Cân nhắc xem ứng dụng và tập lệnh bên thứ ba nào có thể có quyền truy cập vào mã thông báo và thông tin đăng nhập khác của người dùng trả về trang của bạn. Hạn chế quyền truy cập vào dữ liệu nhạy cảm bằng các vị trí URI chuyển hướng chỉ dùng để xác minh và lưu trữ dữ liệu mã thông báo.

Các bước tiếp theo

Sau khi bạn đảm bảo rằng ứng dụng của mình tuân thủ các chính sách về OAuth 2.0 trên trang này, hãy xem bài viết Gửi yêu cầu xác minh thương hiệu để biết thông tin chi tiết về quy trình xác minh.