모바일 및 데스크톱 앱용 OAuth 2.0

이 문서에서는 스마트폰, 태블릿, 기기, 운영체제와 같은 기기에 설치된 애플리케이션을 컴퓨터는 Google의 OAuth 2.0 엔드포인트를 사용하여 YouTube Analytics API 또는 YouTube Reporting API

OAuth 2.0을 통해 사용자는 애플리케이션을 유지하면서 애플리케이션 및 특정 데이터를 공유할 수 있습니다. 사용자 이름, 비밀번호 및 기타 정보를 비공개로 유지합니다. 예를 들어 애플리케이션에서 OAuth 2.0을 사용하여 권한을 얻을 수 있습니다. 채널의 YouTube 분석 데이터를 검색합니다.

설치된 앱은 개별 기기에 배포되며, 이러한 앱은 보안은 비밀을 지킬 수 없습니다 사용자가 앱에 있는 동안 또는 사용자가 있을 때 Google API에 액세스할 수 있습니다. 앱이 백그라운드에서 실행되고 있는지 확인합니다.

이 승인 흐름은 웹 서버 애플리케이션입니다. 가장 큰 차이점은 이러한 요청을 처리하기 위해 시스템 브라우저를 열고 로컬 리디렉션 URI를 Google 인증 서버에서 보내는 응답입니다.

대안

모바일 앱의 경우 Android 또는 iOS Google 로그인 클라이언트 라이브러리는 인증 및 사용자 승인을 처리하며, 구현될 가능성이 더 높습니다.

시스템 브라우저를 지원하지 않거나 입력이 제한된 기기에서 실행되는 앱 카메라 또는 프린터와 같은 기능이 있는 경우 TV용 OAuth 2.0 및 기기 또는 TV 및 제한된 입력 기기에서 로그인을 참조하세요.

라이브러리 및 샘플

OAuth 2.0 흐름을 구현하는 데 도움이 되는 다음 라이브러리와 샘플을 사용하는 것이 좋습니다. 다음 사항을 참조하세요.

• Android용 AppAuth 라이브러리
• iOS용 AppAuth 라이브러리
• 앱용 OAuth: Windows 샘플

기본 요건

프로젝트에 API 사용 설정

Google API를 호출하는 모든 애플리케이션은 API Console

프로젝트에 API를 사용 설정하는 방법은 다음과 같습니다.

1. Open the API Library Google API Console입니다.
2. If prompted, select a project, or create a new one.
3. 보관함 페이지에서 YouTube Analytics API와 YouTube Reporting API를 찾아 사용 설정합니다. YouTube 분석 데이터를 검색하는 여러 애플리케이션은 YouTube Data API와도 연결됩니다. 애플리케이션에서 사용할 다른 API를 찾아 사용 설정합니다.

승인 사용자 인증 정보 만들기

OAuth 2.0을 사용하여 Google API에 액세스하는 모든 애플리케이션에는 승인 사용자 인증 정보가 있어야 합니다. 애플리케이션 식별 정보를 Google의 OAuth 2.0 서버로 전송합니다. 다음 단계에서는 사용자 인증 정보를 만듭니다 그러면 애플리케이션에서 사용자 인증 정보를 사용하여 API에 액세스할 수 있습니다. 사용 설정해야 합니다

1. Go to the Credentials page.
2. 사용자 인증 정보 만들기 > OAuth 클라이언트 ID를 클릭합니다.
3. 아래 섹션에서는 Google에서 제공하는 클라이언트 유형과 리디렉션 방법을 설명합니다. 있습니다. 캠페인에 권장되는 클라이언트 유형을 선택하세요. 애플리케이션의 이름을 지정하고 양식의 다른 필드를 있습니다.

액세스 범위 식별

범위를 사용 설정하면 애플리케이션이 필요한 리소스에 대한 액세스만 요청할 수 있으며 사용자가 애플리케이션에 부여하는 액세스 수준을 제어할 수 있게 해줍니다. 따라서 요청된 범위 수와 사용자 동의 획득

OAuth 2.0 승인을 구현하기 전에 해당 범위를 식별하는 것이 좋습니다. 앱에 액세스 권한이 있어야 합니다

YouTube Analytics API는 다음 범위를 사용합니다.

YouTube Reporting API는 다음 범위를 사용합니다.

OAuth 2.0 API 범위 문서에는 전체 내용이 포함되어 있습니다. Google API에 액세스하는 데 사용할 수 있는 범위 목록입니다.

OAuth 2.0 액세스 토큰 받기

다음 단계는 애플리케이션이 Google의 OAuth 2.0 서버와 상호작용하여 사용자를 대신하여 API 요청을 수행하는 사용자 동의. 애플리케이션에는 있어야 사용자 승인이 필요한 Google API 요청을 실행할 수 있습니다.

1단계: 코드 인증기 생성 및 본인 확인 요청

Google에서는 코드 교환을 위한 증명 키를 지원합니다. (PKCE) 프로토콜을 사용하여 설치된 앱 흐름의 보안을 강화합니다. 인증 기관이 자동으로 'code_challenge'라는 변환된 값이 인증 서버를 사용하여 인증 코드를 받습니다.

코드 인증 도구 만들기

code_verifier는 예약되지 않은 값을 사용하는 높은 엔트로피의 암호화 임의 문자열입니다. 문자 [A-Z] / [a-z] / [0-9] / '-' / '.' / '_' / '~'(최소 길이 43자(영문 기준)) 최대 길이는 128자(영문 기준)입니다

코드 인증 도구에는 값을 추측하기가 실용적이지 않을 만큼 충분한 엔트로피가 있어야 합니다.

코드 보안 질문 만들기

코드 챌린지를 만드는 방법에는 두 가지가 지원됩니다.

code_challenge = BASE64URL-ENCODE(SHA256(ASCII(code_verifier)))

code_challenge = code_verifier

2단계: Google의 OAuth 2.0 서버에 요청 보내기

사용자 승인을 받으려면 Google 인증 서버( https://accounts.google.com/o/oauth2/v2/auth 이 엔드포인트는 활성 세션 조회를 처리하여 사용자를 인증하고 사용자 동의를 얻습니다. 엔드포인트는 SSL을 통해서만 액세스할 수 있으며 는 HTTP (비SSL) 연결을 거부합니다.

승인 서버는 설치된 설치에 대해 다음 쿼리 문자열 매개변수를 지원합니다. 애플리케이션:

샘플 승인 URL

아래 탭에는 여러 리디렉션 URI 옵션에 대한 샘플 승인 URL이 나와 있습니다.

URL은 redirect_uri 매개변수의 값을 제외하고 동일합니다. URL 필수 response_type 및 client_id 매개변수도 포함됩니다. 를 선택적 state 매개변수로 사용합니다. 각 URL에는 있습니다.

https://accounts.google.com/o/oauth2/v2/auth?
 scope=https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fyt-analytics.readonly&
 response_type=code&
 state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foauth2.example.com%2Ftoken&
 redirect_uri=com.example.app%3A/oauth2redirect&
 client_id=client_id

https://accounts.google.com/o/oauth2/v2/auth?
 scope=https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fyt-analytics.readonly&
 response_type=code&
 state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foauth2.example.com%2Ftoken&
 redirect_uri=http%3A//127.0.0.1%3A9004&
 client_id=client_id

3단계: Google에서 사용자에게 동의 요청 메시지 표시

이 단계에서 사용자는 애플리케이션에 요청된 액세스 권한을 부여할지 여부를 결정합니다. 이 시간 단계에서 Google에 애플리케이션의 이름과 Google API의 이름을 명시한 동의 창이 표시됩니다. 사용자 인증 정보를 사용하여 액세스할 수 있는 권한을 요청하는 서비스가 부여할 수 있습니다. 이 그러면 사용자는 애플리케이션 또는 앱에서 요청하는 하나 이상의 범위에 대한 액세스 권한을 부여하는 데 동의할 수 있습니다. 요청을 거부합니다.

애플리케이션은 이 단계에서 액세스 권한이 부여되었는지 여부를 나타내는 Google의 OAuth 2.0 서버입니다. 이 응답은 다음 단계를 따르세요.

4단계: OAuth 2.0 서버 응답 처리

애플리케이션이 승인 응답을 수신하는 방법은 리디렉션 URI 스킴을 사용합니다. 계획에 관계없이 응답에 승인 코드 (code) 또는 오류가 포함됩니다. (error). 예를 들어 error=access_denied는 사용자가 님이 요청을 거부했습니다.

사용자가 애플리케이션에 대한 액세스 권한을 부여하면 승인 코드를 갱신 토큰이 있어야 합니다.

5단계: 새로고침 및 액세스를 위해 승인 코드 교환 토큰

승인 코드를 액세스 토큰으로 교환하려면 다음을 호출합니다. https://oauth2.googleapis.com/token 엔드포인트를 추가하고 다음 매개변수를 설정합니다.

다음 스니펫은 샘플 요청을 보여줍니다.

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7&
client_id=your_client_id&
client_secret=your_client_secret&
redirect_uri=http://127.0.0.1:9004&
grant_type=authorization_code

Google은 단기 액세스가 포함된 JSON 객체를 반환하여 이 요청에 응답합니다. 갱신 토큰이 필요합니다

응답에는 다음 필드가 포함됩니다.

다음 스니펫은 샘플 응답을 보여줍니다.

{
  "access_token": "1/fFAGRNJru1FTz70BzhT3Zg",
  "expires_in": 3920,
  "token_type": "Bearer",
  "scope": "https://www.googleapis.com/auth/yt-analytics.readonly",
  "refresh_token": "1//xEoDL4iW3cxlI7yDbSRFYNG01kVKM2C-259HOF2aQbI"
}

Google API 호출

애플리케이션이 액세스 토큰을 획득한 후에는 이 토큰을 사용하여 Google API를 호출함으로써 API에서 요구하는 액세스 범위가 부여된 경우 사용자 계정이 생성됩니다. 이렇게 하려면 access_token 쿼리 중 하나를 포함하여 API에 대한 요청에 액세스 토큰 생성 매개변수 또는 Authorization HTTP 헤더 Bearer 값을 사용해야 합니다. 가능하면 쿼리 문자열은 서버 로그에 표시되는 경향이 있으므로 HTTP 헤더를 사용하는 것이 좋습니다. 최대 클라이언트 라이브러리를 사용하여 Google API에 대한 호출을 설정할 수 있는 경우 (예: YouTube Analytics API 호출)을 참조하세요.

YouTube Analytics API는 서비스 계정을 지원하지 않습니다. 있습니다. YouTube Reporting API는 여러 YouTube 채널을 소유하고 관리하는 YouTube 콘텐츠 소유자(예: 음반사와 영화 스튜디오입니다.

모든 Google API를 사용해 보고 OAuth 2.0 플레이그라운드.

HTTP GET 예시

호출 <ph type="x-smartling-placeholder"></ph> reports.query 엔드포인트 (YouTube Analytics API)에서 Authorization: Bearer HTTP를 사용하는 경우 헤더는 다음과 같을 수 있습니다. 자체 액세스 토큰을 지정해야 합니다.

GET /youtube/analytics/v1/reports?ids=channel%3D%3DMINE&start-date=2016-05-01&end-date=2016-06-30&metrics=views HTTP/1.1
Host: www.googleapis.com
Authorization: Bearer access_token

다음은 access_token를 사용하여 인증된 사용자의 동일한 API를 호출합니다. 쿼리 문자열 매개변수:

GET https://www.googleapis.com/youtube/analytics/v1/reports?access_token=access_token&ids=channel%3D%3DMINE&start-date=2016-05-01&end-date=2016-06-30&metrics=views

curl 예

curl 명령줄 애플리케이션을 사용하여 이러한 명령어를 테스트할 수 있습니다. 다음은 예를 들면 다음과 같습니다 (권장).

curl -H "Authorization: Bearer access_token" https://www.googleapis.com/youtube/analytics/v1/reports?ids=channel%3D%3DMINE&start-date=2016-05-01&end-date=2016-06-30&metrics=views

또는 쿼리 문자열 매개변수 옵션을 사용합니다.

curl https://www.googleapis.com/youtube/analytics/v1/reports?access_token=access_token&ids=channel%3D%3DMINE&start-date=2016-05-01&end-date=2016-06-30&metrics=views

액세스 토큰 갱신

액세스 토큰은 주기적으로 만료되어 관련 API 요청에 대한 잘못된 사용자 인증 정보가 됩니다. 나 사용자에게 권한을 요청하지 않고 액세스 토큰을 갱신할 수 있는 경우 (사용자가 토큰과 연결된 범위에 대한 오프라인 액세스를 요청한 경우

액세스 토큰을 갱신하려면 애플리케이션에서 HTTPS POST을 전송합니다. Google 인증 서버 (https://oauth2.googleapis.com/token)에 에는 다음 매개변수가 포함됩니다.

다음 스니펫은 샘플 요청을 보여줍니다.

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

client_id=your_client_id&
client_secret=your_client_secret&
refresh_token=refresh_token&
grant_type=refresh_token

사용자가 애플리케이션에 부여된 액세스 권한을 취소하지 않는 한 토큰 서버는 새 액세스 토큰이 포함된 JSON 객체를 반환합니다. 다음 스니펫은 응답:

{
  "access_token": "1/fFAGRNJru1FTz70BzhT3Zg",
  "expires_in": 3920,
  "scope": "https://www.googleapis.com/auth/drive.metadata.readonly",
  "token_type": "Bearer"
}

발급되는 갱신 토큰의 수에는 제한이 있습니다. 1회 한도 클라이언트/사용자 조합 및 모든 클라이언트의 사용자당 1회의 조합을 제공합니다. 갱신 토큰을 저장해야 합니다. 장기 스토리지에 저장하고 유효한 상태로 유지되는 한 계속 사용할 수 있습니다. 애플리케이션이 너무 많은 갱신 토큰을 요청하면 한도에 도달할 수 있으며, 이 경우 이전 갱신 토큰이 작동이 중지됩니다

토큰 취소

사용자가 애플리케이션에 부여된 액세스 권한을 취소하려고 하는 경우도 있습니다. 사용자는 액세스 권한을 취소할 수 있습니다. 방문 계정 설정을 탭합니다. 자세한 내용은 삭제 서드 파티 사이트의 사이트 또는 앱 액세스 섹션 및 내 계정에 액세스할 수 있는 앱 지원 문서를 참조하세요.

또한 애플리케이션에서 프로그래밍 방식으로 주어진 액세스 권한을 취소할 수도 있습니다. 프로그래매틱 취소는 사용자가 구독을 취소하거나 또는 앱에 필요한 API 리소스가 크게 변경된 경우 즉, 삭제 프로세스의 일부로 이전에 사용하던 권한을 확인하기 위한 API 요청이 포함될 수 있습니다. 삭제됩니다.

토큰을 프로그래매틱 방식으로 취소하기 위해 애플리케이션은 https://oauth2.googleapis.com/revoke이며 토큰을 매개변수로 포함합니다.

curl -d -X -POST --header "Content-type:application/x-www-form-urlencoded" \
        https://oauth2.googleapis.com/revoke?token={token}

토큰은 액세스 토큰 또는 갱신 토큰일 수 있습니다. 토큰이 액세스 토큰이며 해당 갱신 토큰이 있으면 갱신 토큰도 취소됩니다.

취소가 성공적으로 처리되면 응답의 HTTP 상태 코드는 200 오류 조건의 경우 HTTP 상태 코드 400가 함께 반환됩니다. 오류 코드가 표시됩니다.

추가 자료

IETF 최신 권장사항 OAuth 2.0 네이티브 앱에는 여기에 설명된 여러 권장사항이 설명되어 있습니다.