การลิงก์บัญชีกับ OAuth (Dialogflow)

ประเภทการลิงก์ OAuth รองรับขั้นตอน OAuth 2.0 มาตรฐานอุตสาหกรรม 2 ขั้นตอน ซึ่งเรียกว่า implicit และขั้นตอนของรหัสการให้สิทธิ์

ในขั้นตอนการเขียนโค้ดแบบโดยนัย Google จะเปิดปลายทางการให้สิทธิ์ในเบราว์เซอร์ของผู้ใช้ เมื่อลงชื่อเข้าใช้สําเร็จ คุณจะส่งคืนโทเค็นเพื่อการเข้าถึงที่ใช้ได้นานแก่ Google ตอนนี้โทเค็นเพื่อการเข้าถึงนี้รวมอยู่ในคําขอทุกรายการที่ส่งจาก Assistant ไปยังการดําเนินการของคุณแล้ว

ในกระบวนการรหัสการให้สิทธิ์ คุณต้องมีปลายทาง 2 จุด ได้แก่

ปลายทางการให้สิทธิ์ ซึ่งมีหน้าที่นําเสนอ UI การลงชื่อเข้าใช้แก่ผู้ใช้ที่ไม่ได้ลงชื่อเข้าใช้ และยินยอมให้มีการเข้าถึงการเข้าถึงที่ขอในรูปของรหัสการให้สิทธิ์ระยะสั้น
ปลายทางของการแลกเปลี่ยนโทเค็นที่มีหน้าที่รับผิดชอบการแลกเปลี่ยน 2 ประเภท ได้แก่
1. แลกเปลี่ยนรหัสการให้สิทธิ์สําหรับโทเค็นการรีเฟรชที่ใช้ได้นานและโทเค็นเพื่อการเข้าถึงที่ใช้ได้นาน การแลกเปลี่ยนนี้จะเกิดขึ้นเมื่อผู้ใช้เข้าสู่ กระบวนการเชื่อมโยงบัญชี
2. แลกเปลี่ยนโทเค็นการรีเฟรชที่ใช้ได้นานกับโทเค็นเพื่อการเข้าถึงที่ใช้ได้ในระยะสั้น Exchange นี้จะเกิดขึ้นเมื่อ Google ต้องการโทเค็นเพื่อการเข้าถึงใหม่เนื่องจากโทเค็นหมดอายุ

แม้ว่าขั้นตอนการใช้รหัสโดยนัยจะง่ายกว่า Google ขอแนะนําว่าโทเค็นเพื่อการเข้าถึงที่ออกโดยใช้โฟลว์โดยนัยไม่มีวันหมดอายุ เนื่องจากการใช้การหมดอายุของโทเค็นด้วยขั้นตอนโดยนัยบังคับให้ผู้ใช้ลิงก์บัญชีอีกครั้ง หากคุณต้องการใช้การหมดอายุของโทเค็นด้วยเหตุผลด้านความปลอดภัย คุณควรพิจารณาการใช้ขั้นตอนการตรวจสอบสิทธิ์แทน

ใช้การลิงก์บัญชี OAuth

หมายเหตุ: หากคุณใช้การลิงก์บัญชีเพื่อจัดการข้อมูลทางการเงิน โปรดทราบว่าอาจมีนโยบายเพิ่มเติมกับการดำเนินการของคุณ อาจใช้เวลาได้ถึง 6 สัปดาห์ในการตรวจสอบการดำเนินการที่มีการลิงก์บัญชี สำหรับข้อมูลทางการเงิน ดังนั้น คำนึงถึงช่วงเวลาในการวางแผนกำหนดการเผยแพร่ด้วย วิธีลดความยุ่งยากในการตรวจสอบ คุณต้องปฏิบัติตามนโยบายบริการทางการเงิน ก่อนส่งการดำเนินการของคุณเข้ารับการตรวจสอบ

กำหนดค่าโปรเจ็กต์

หากต้องการกำหนดค่าโปรเจ็กต์ให้ใช้การลิงก์บัญชี OAuth ให้ทำตามขั้นตอนต่อไปนี้

เปิดคอนโซล Actions และเลือกโปรเจ็กต์ที่ต้องการใช้
คลิกแท็บพัฒนา แล้วเลือกการลิงก์บัญชี
เปิดใช้สวิตช์ข้างการลิงก์บัญชี
ในส่วนการสร้างบัญชี ให้เลือกไม่ ฉันต้องการอนุญาตให้สร้างบัญชีบนเว็บไซต์ของฉันเท่านั้น
ในส่วนประเภทการลิงก์ ให้เลือก OAuth และ Implicit
ในส่วนข้อมูลลูกค้า ให้ทำดังนี้
- กำหนดค่าให้กับรหัสไคลเอ็นต์ที่ออกโดย Actions to Google เพื่อระบุ คำขอที่มาจาก Google
- แทรก URL สำหรับปลายทาง Authorization และ Token Exchange

วันที่

คลิกบันทึก

ใช้เซิร์ฟเวอร์ OAuth

为了支持 OAuth 2.0 隐式流程，您的服务会进行授权端点。此端点负责就数据访问征得用户同意。授权端点向尚未登录的用户显示登录界面，并记录同意所请求的访问。

当您的 Action 需要调用您的某项授权的 API 时，Google 会使用此端点来获得用户许可，以在其上调用这些 API 。

由 Google 发起的典型 OAuth 2.0 隐式流会话具有以下特征：以下流程：

Google 会在用户的浏览器中打开您的授权端点。通过如果用户尚未登录，则可以登录，并且授予 Google 访问通过您的 API 访问其数据（如果尚未授予权限）。
您的服务会创建一个访问令牌并将其返回给通过使用访问令牌将用户的浏览器重定向回 Google，附件。
Google 调用您的服务的 API，并使用。您的服务会验证访问令牌是否向 Google 授予访问 API 的授权，然后完成 API 调用。

处理授权请求

当您的 Action 需要通过 OAuth2 隐式流程执行账号关联时， Google 会通过包含以下内容的请求将用户发送到您的授权端点：以下参数：

授权端点参数
`client_id`	您分配给 Google 的客户 ID。
`redirect_uri`	此请求的响应发送到的网址。
`state`	将一个在重定向 URI。
`response_type`	要在响应中返回的值的类型。对于 OAuth 2.0 隐式则响应类型始终为 `token`。

例如，如果您的授权端点可通过 https://myservice.example.com/auth 访问，请求可能如下所示：

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token

为了让授权端点能够处理登录请求，请执行以下步骤：

验证 client_id 和 redirect_uri 值，防止向意外或配置错误的客户端应用授予访问权限：
- 确认 client_id 是否与您的客户端 ID 匹配分配给 Google。
- 确认 redirect_uri 指定的网址参数的格式如下：
```
https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
```
  YOUR_PROJECT_ID 是项目设置页面上的 ID Actions 控制台界面。
检查用户是否已登录您的服务。如果用户未登录中，完成服务的登录或注册流程。
生成 Google 将用于访问您的 API 的访问令牌。通过访问令牌可以是任何字符串值，但必须唯一地表示令牌对应的用户和客户端，且不得被猜到。
发送 HTTP 响应，将用户浏览器重定向到相应网址由 redirect_uri 参数指定。添加所有以下参数：
- access_token：您刚刚生成的访问令牌
- token_type：字符串 bearer
- state：原始状态的未修改状态值请求以下是生成的网址示例：
```
https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING
```

Google 的 OAuth 2.0 重定向处理程序将收到访问令牌并确认 state 值没有更改。在 Google 获得访问令牌，则 Google 会将该令牌附加到后续调用作为 AppRequest 的一部分添加到您的 Action。

เริ่มขั้นตอนการตรวจสอบสิทธิ์

คำเตือน: อย่าให้ข้อความแจ้งลิงก์บัญชีที่จำเป็นแก่ผู้ใช้เมื่อเริ่มต้นการสนทนากับการดำเนินการของคุณ แต่ควรให้ขั้นตอนผู้เข้าร่วมแก่ผู้ใช้ที่ไม่ได้รับการตรวจสอบสิทธิ์เพื่อแสดงวิธีการทำงานของการดำเนินการของคุณ แล้วขอให้ลิงก์บัญชีเฉพาะในกรณีที่จำเป็นต้องดำเนินการต่อเท่านั้น หากผู้ใช้ออกจากการดำเนินการดังกล่าวอย่างต่อเนื่องเนื่องจากปัญหาการลิงก์บัญชี Google จะไม่โปรโมตการดำเนินการอย่างสม่ำเสมอ ซึ่งอาจทำให้การเข้าชมของผู้ใช้ของการดำเนินการลดลง

ใช้จุดประสงค์ของตัวช่วยในการลงชื่อเข้าใช้บัญชี เพื่อเริ่มขั้นตอนการตรวจสอบสิทธิ์ ข้อมูลโค้ดต่อไปนี้อธิบายวิธี ส่งคำตอบใน Dialogflow และ Actions SDK เพื่อใช้ตัวช่วยนี้

Dialogflow

Node.js

const {dialogflow, SignIn} = require('actions-on-google');
const app = dialogflow({
  // REPLACE THE PLACEHOLDER WITH THE CLIENT_ID OF YOUR ACTIONS PROJECT
  clientId: CLIENT_ID,
});
// Intent that starts the account linking flow.
app.intent('Start Signin', (conv) => {
  conv.ask(new SignIn('To get your account details'));
});

Java

@ForIntent("Start Signin")
public ActionResponse text(ActionRequest request) {
  ResponseBuilder rb = getResponseBuilder(request);
  return rb.add(new SignIn().setContext("To get your account details")).build();
}

JSON

{
  "payload": {
    "google": {
      "expectUserResponse": true,
      "richResponse": {
        "items": [
          {
            "simpleResponse": {
              "textToSpeech": "PLACEHOLDER"
            }
          }
        ]
      },
      "userStorage": "{\"data\":{}}",
      "systemIntent": {
        "intent": "actions.intent.SIGN_IN",
        "data": {
          "@type": "type.googleapis.com/google.actions.v2.SignInValueSpec",
          "optContext": "To get your account details"
        }
      }
    }
  },
  "outputContexts": [
    {
      "name": "/contexts/_actions_on_google",
      "lifespanCount": 99,
      "parameters": {
        "data": "{}"
      }
    }
  ]
}

Actions SDK:

Node.js

const {actionssdk, SignIn} = require('actions-on-google');
const app = actionssdk({
  // REPLACE THE PLACEHOLDER WITH THE CLIENT_ID OF YOUR ACTIONS PROJECT
  clientId: CLIENT_ID,
});
// Intent that starts the account linking flow.
app.intent('actions.intent.TEXT', (conv) => {
  conv.ask(new SignIn('To get your account details'));
});

Java

@ForIntent("actions.intent.TEXT")
public ActionResponse text(ActionRequest request) {
  ResponseBuilder rb = getResponseBuilder(request);
  return rb.add(new SignIn().setContext("To get your account details")).build();
}

JSON

{
  "expectUserResponse": true,
  "expectedInputs": [
    {
      "inputPrompt": {
        "richInitialPrompt": {
          "items": [
            {
              "simpleResponse": {
                "textToSpeech": "PLACEHOLDER"
              }
            }
          ]
        }
      },
      "possibleIntents": [
        {
          "intent": "actions.intent.SIGN_IN",
          "inputValueData": {
            "@type": "type.googleapis.com/google.actions.v2.SignInValueSpec",
            "optContext": "To get your account details"
          }
        }
      ]
    }
  ],
  "conversationToken": "{\"data\":{}}",
  "userStorage": "{\"data\":{}}"
}

จัดการคำขอเข้าถึงข้อมูล

หากคําขอ Assistant มีโทเค็นเพื่อการเข้าถึง ก่อนอื่นให้ตรวจสอบว่าโทเค็นเพื่อการเข้าถึงถูกต้อง (และไม่หมดอายุ) แล้วเรียกข้อมูลบัญชีผู้ใช้ที่เชื่อมโยงจากฐานข้อมูล