OAuth tabanlı Google ile Oturum Açma ile hesap bağlama "Basitleştirilmiş" bağlantı oluşturma

OAuth tabanlı Google ile Oturum Açma "Kolaylaştırılmış" bağlama türü, OAuth tabanlı hesap bağlamanın üzerine Google ile Oturum Açma özelliğini ekler. Bu sayede Google kullanıcıları için sorunsuz bir ses tabanlı bağlantı oluştururken Google dışı bir kimlikle hizmetinize kaydolan kullanıcılar için hesap bağlamayı da etkinleştirebilirsiniz.

Bu bağlantı türü, kullanıcının Google profili bilgilerinin sisteminizde mevcut olup olmadığını kontrol etmenize olanak tanıyan Google ile Oturum Açma özelliğiyle başlar. Kullanıcının bilgileri sisteminizde bulunamazsa standart bir OAuth akışı başlar. Kullanıcı, Google profil bilgileriyle yeni bir hesap oluşturmayı da seçebilir.

Şekil 1: İşleminiz kullanıcının Google profiline erişim elde ettikten sonra, bu profili kullanarak kimlik doğrulama sisteminizdeki kullanıcı için bir eşleşme bulabilirsiniz.

Basitleştirilmiş bağlantı türüyle hesap bağlama işlemi gerçekleştirmek için aşağıdaki genel adımları uygulayın:

1. Öncelikle kullanıcıdan Google profiline erişim için izin vermesini isteyin.
2. Kullanıcıyı tanımlamak için kullanıcının profilindeki bilgileri kullanın.
3. Kimlik doğrulama sisteminizde Google kullanıcısı için eşleşme bulamazsanız, Actions Console'daki Actions projenizi sesle mi yoksa yalnızca web sitenizde mi yapılandırdığınıza bağlı olarak süreç devam eder.
   • Sesle hesap oluşturmaya izin veriyorsanız Google'dan alınan kimlik jetonunu doğrulayın. Daha sonra, kimlik jetonunda bulunan profil bilgilerine dayalı bir kullanıcı oluşturabilirsiniz.
   • Sesle hesap oluşturmaya izin vermezseniz kullanıcı, yetkilendirme sayfanızı yükleyebileceği ve kullanıcı oluşturma akışını tamamlayabileceği bir tarayıcıya aktarılır.

Şekil 2. Sisteminizde bir kullanıcı bilgisi bulunamadığında OAuth ve Google ile Oturum Açma akışının görsel temsili.

Sesle hesap oluşturma desteği

Sesle kullanıcı hesabı oluşturmaya izin verirseniz Asistan, kullanıcıya aşağıdakileri yapmak isteyip istemediğini sorar:

• Google hesap bilgilerini kullanarak sisteminizde yeni bir hesap oluşturun veya
• Google dışı bir hesapları varsa kimlik doğrulama sisteminizde farklı bir hesapla oturum açın.

Hesap oluşturma akışının zorluklarını en aza indirmek istiyorsanız sesle hesap oluşturmaya izin vermeniz önerilir. Kullanıcının yalnızca mevcut bir Google dışı hesabı kullanarak oturum açmak istediği durumlarda ses akışından ayrılması gerekir.

Sesle hesap oluşturmaya izin verme

Sesle kullanıcı hesabı oluşturmaya izin vermediyseniz Asistan, kullanıcı kimlik doğrulaması için sağladığınız web sitesinin URL'sini açar. Etkileşim, ekranı olmayan bir cihazda gerçekleşiyorsa Asistan, hesap bağlama akışına devam etmesi için kullanıcıyı telefona yönlendirir.

Aşağıdaki durumlarda oluşturmaya izin vermemeniz önerilir:

• Google dışı hesapları olan kullanıcıların yeni bir kullanıcı hesabı oluşturmasına izin vermek istemiyor ve bunun yerine bu kullanıcıların, kimlik doğrulama sisteminizdeki mevcut kullanıcı hesaplarına bağlamasını istiyorsanız. Örneğin, bir bağlılık programı sunuyorsanız kullanıcının mevcut hesabında biriken puanları kaybetmediğinden emin olmak isteyebilirsiniz.

• Hesap oluşturma akışı üzerinde tam kontrole sahip olmanız gerekir. Örneğin, hesap oluşturma sırasında hizmet şartlarınızı kullanıcıya göstermeniz gerekirse oluşturma işlemine izin vermemeyi tercih edebilirsiniz.

Not: Seçilen akışı uygulama hakkında daha fazla bilgi edinmek için aşağıdaki akış seçeneklerinden birini belirleyin. Gerekirse kılavuzun içeriği, seçiminize uyacak şekilde yeniden yüklenir.

Sesle hesap oluşturmaya izin ver Sesle hesap oluşturmaya izin verme

OAuth tabanlı Google ile Oturum Açma "Kolaylaştırılmış" bağlantıyı uygulayın

Hesaplar endüstri standardı OAuth 2.0 akışlarına bağlıdır. Actions on Google, dolaylı ve yetkilendirme kodu akışlarını destekler.

Not: Finansal bilgileri işlemek için hesap bağlama işlemi gerçekleştiriyorsanız İşleminiz için ek politikaların geçerli olabileceğini unutmayın. Finansal bilgiler için hesap bağlama içeren bir işlemi incelememiz altı haftaya kadar sürebilir. Bu nedenle, yayın planınızı planlarken bu süreyi de hesaba katın. İnceleme sürecini kolaylaştırmak için İşleminizi incelemeye göndermeden önce mali hizmetler politikalarına uyduğunuzdan emin olun.

In the implicit code flow, Google opens your authorization endpoint in the user's browser. After successful sign in, you return a long-lived access token to Google. This access token is now included in every request sent from the Assistant to your Action.

In the authorization code flow, you need two endpoints:

• The authorization endpoint, which is responsible for presenting the sign-in UI to your users that aren't already signed in and recording consent to the requested access in the form of a short-lived authorization code.
• The token exchange endpoint, which is responsible for two types of exchanges:
  1. Exchanges an authorization code for a long-lived refresh token and a short-lived access token. This exchange happens when the user goes through the account linking flow.
  2. Exchanges a long-lived refresh token for a short-lived access token. This exchange happens when Google needs a new access token because the one it had expired.

Although the implicit code flow is simpler to implement, Google recommends that access tokens issued using the implicit flow never expire, because using token expiration with the implicit flow forces the user to link their account again. If you need token expiration for security reasons, you should strongly consider using the auth code flow instead.

Note: Please choose which OAuth 2.0 flow you want to implement. If needed, the content of this guide reloads to adapt to your choice.

Auth code Implicit flow

Projeyi yapılandırma

Projenizi Basitleştirilmiş bağlantı kullanacak şekilde yapılandırmak için aşağıdaki adımları uygulayın:

1. Actions konsolunu açın ve kullanmak istediğiniz projeyi seçin.
2. Geliştirme sekmesini tıklayın ve Hesap bağlama'yı seçin.
3. Hesap bağlama'nın yanındaki anahtarı etkinleştirin.
4. Hesap oluşturma bölümünde Evet'i seçin.

5. Bağlantı türü bölümünde OAuth ve Google ile Oturum Açma ile Dolaylı'yı seçin.

   

6. Müşteri Bilgileri bölümünde aşağıdakileri yapın:

   • Google'dan gelen istekleri tanımlamak için Actions to Google'a (İşlemleriniz tarafından Google'a gönderilen) bir değer atayın.
   • Yetkilendirme ve Jeton Değişimi uç noktalarınızın URL'lerini ekleyin.

7. Kaydet'i tıklayın.

OAuth sunucunuzu uygulama

为了支持 OAuth 2.0 隐式流程，您的服务会通过 HTTPS 提供授权端点。此端点负责验证数据访问并从用户那里获得同意。授权端点会向尚未登录的用户呈现登录界面，并记录用户同意所请求的访问。

当您的 Action 需要调用某项服务的已授权 API 时，Google 会使用此端点从您的用户处获取权限，以便代表他们调用这些 API。

由 Google 发起的典型 OAuth 2.0 隐式流会话具有以下流程：

1. Google 会在用户的浏览器中打开您的授权端点。用户如果尚未登录，则登录；如果用户尚未授予权限，则授予 Google 使用您的 API 访问其数据的权限。
2. 您的服务会创建访问令牌，并使用附加到请求的访问令牌将用户的浏览器重定向回 Google，从而将其返回给 Google。
3. Google 会调用您的服务的 API，并为每个请求附加访问令牌。您的服务会验证访问令牌是否授予 Google 访问 API 的授权，然后完成 API 调用。

处理授权请求

当您的 Action 需要通过 OAuth 2.0 隐式流程执行帐号关联时，Google 会通过包含以下参数的请求将用户发送到您的授权端点：

授权端点参数
client_id	您分配给 Google 的客户端 ID。
redirect_uri	您要将该请求的响应发送到的网址。
state	在重定向 URI 中原封不动地传回 Google 的簿记值。
response_type	要在响应中返回的值的类型。对于 OAuth 2.0 隐式流程，响应类型始终为 token。

例如，如果您的授权端点位于 https://myservice.example.com/auth，请求可能如下所示：

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token

为了让授权端点能够处理登录请求，请执行以下步骤：

1. 验证 client_id 和 redirect_uri 值，以防止授予对意外或配置错误的客户端应用的访问权限：

   • 确认 client_id 与您分配给 Google 的客户端 ID 匹配。
   • 确认 redirect_uri 参数指定的网址采用以下格式：

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID

     YOUR_PROJECT_ID 是在 Actions 控制台的 Project settings 页面上找到的 ID。

2. 检查用户是否登录了您的服务。如果用户未登录，请完成服务的登录或注册流程。

3. 生成 Google 将用于访问您的 API 的访问令牌。访问令牌可以是任何字符串值，但它必须唯一地代表用户和令牌所面向的客户端，并且必须不可猜测。

4. 发送 HTTP 响应，将用户浏览器重定向到 redirect_uri 参数指定的网址。在网址片段中添加以下所有参数：

   • access_token：您刚刚生成的访问令牌
   • token_type：字符串 bearer
   • state：原始请求中的未修改状态值 以下是所生成网址的示例：

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING

Google 的 OAuth 2.0 重定向处理程序将接收访问令牌，并确认 state 值未更改。Google 为您的服务获取访问令牌后，会将该令牌作为 AppRequest 的一部分附加到对您的 Action 的后续调用。

处理自动关联

用户同意您的 Action 访问其 Google 个人资料后，Google 会发送一个请求，其中包含已签署的 Google 用户身份断言。该断言包含用户的 Google 帐号 ID、姓名和电子邮件地址等信息。您为项目配置的令牌交换端点会处理该请求。

如果您的身份验证系统中已存在相应的 Google 帐号，则令牌交换端点为用户返回一个令牌。如果 Google 帐号与现有用户不匹配，则令牌交换端点会返回 user_not_found 错误。

该请求的格式如下：

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=get&assertion=JWT&consent_code=CONSENT_CODE&scope=SCOPES

您的令牌交换端点必须能够处理以下参数：

令牌端点参数
grant_type	要交换的令牌的类型。对于这些请求，此参数的值为 urn:ietf:params:oauth:grant-type:jwt-bearer。
intent	对于这些请求，此参数的值为 `get`。
assertion	一个 JSON Web 令牌 (JWT)，可提供 Google 用户身份的已签名断言。JWT 包含用户的 Google 帐号 ID、名称和电子邮件地址等信息。
consent_code	可选：如果存在，这是一个一次性代码，用于表明用户已同意您的 Action 访问指定范围。
scope	可选：您已配置 Google 向用户请求的任何范围。

当您的令牌交换端点收到关联请求时，应执行以下操作：

验证和解码 JWT 断言

您可以使用适合您的语言的 JWT 解码库来验证和解码 JWT 断言。使用 Google 的公钥（以 JWK 或 PEM 格式提供）来验证令牌的签名。

注意 ：键不应采用硬编码。而应按照 OpenID connect Discovery Protocol 并检查 cache-control 标头，以确定应将密钥缓存多长时间。

解码后，JWT 断言如下所示：

{
  "sub": 1234567890,        // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "[e-mail]", // If present, the user's email address
  "locale": "en_US"
}

除了验证令牌的签名之外，请验证断言的颁发者（iss 字段）是否为 https://accounts.google.com，以及目标对象群组（aud 字段）是否为分配给您的 Action 的客户端 ID。

检查您的身份验证系统中是否已经存在相关 Google 账号

检查是否满足以下任一条件：

• Google 帐号 ID（可在断言的 sub 字段中找到）位于您的用户数据库中。
• 断言中的电子邮件地址与用户数据库中的用户匹配。

如果满足任一条件，则表示用户已完成注册，您可以颁发访问令牌。

如果 Google 帐号 ID 和断言中指定的电子邮件地址均与您数据库中的用户不匹配，则表示该用户尚未注册。在这种情况下，您的令牌交换端点应回复 HTTP 401 错误，该错误会指定 error=user_not_found，如以下示例所示：

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"user_not_found",
}

当 Google 收到包含 user_not_found 错误的 401 错误响应时，Google 会调用您的令牌交换端点，将 intent 参数的值设为 create，并通过请求发送一个包含用户个人资料信息的 ID 令牌。

Handle account creation via Google Sign-In

When a user needs to create an account on your service, Google makes a request to your token exchange endpoint that specifies intent=create, as in the following example:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

response_type=token&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&scope=SCOPES&intent=create&consent_code=CONSENT_CODE&assertion=JWT[&NEW_ACCOUNT_INFO]

The assertion parameter contains A JSON Web Token (JWT) that provides a signed assertion of the Google user's identity. The JWT contains information that includes the user's Google Account ID, name, and email address, which you can use to create a new account on your service.

To respond to account creation requests, your token exchange endpoint must do the following:

验证和解码 JWT 断言

您可以使用适合您的语言的 JWT 解码库来验证和解码 JWT 断言。使用 Google 的公钥（以 JWK 或 PEM 格式提供）来验证令牌的签名。

注意 ：键不应采用硬编码。而应按照 OpenID connect Discovery Protocol 并检查 cache-control 标头，以确定应将密钥缓存多长时间。

解码后，JWT 断言如下所示：

{
  "sub": 1234567890,        // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "[e-mail]", // If present, the user's email address
  "locale": "en_US"
}

除了验证令牌的签名之外，请验证断言的颁发者（iss 字段）是否为 https://accounts.google.com，以及目标对象群组（aud 字段）是否为分配给您的 Action 的客户端 ID。

Validate user information and create new account

Check whether either of the following conditions are true:

• The Google Account ID, found in the assertion's sub field, is in your user database.
• The email address in the assertion matches a user in your user database.

If either condition is true, prompt the user to link their existing account with their Google Account by responding to the request with an HTTP 401 error, specifying error=linking_error and the user's email address as the login_hint, as in the following example:

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"[e-mail]"
}

If neither condition is true, create a new user account using the information provided in the JWT. New accounts do not typically have a password set. It is recommended that you add Google Sign In to other platforms to enable users to log in via Google across the surfaces of your application. Alternatively, you can email the user a link that starts your password recovery flow to allow the user to set a password for signing in on other platforms.

When the creation is completed, issue an access token and return the values in a JSON object in the body of your HTTPS response, like in the following example:

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",
  
  "expires_in": SECONDS_TO_EXPIRATION
}

Kimlik doğrulama akışı için ses kullanıcı arayüzünü tasarlama

Uyarı: İşleminizle görüşmenin başında kullanıcılara zorunlu bir hesap bağlama istemi vermeyin. Bunun yerine, kimliği doğrulanmamış kullanıcılara İşleminizin nasıl çalıştığını göstermek için misafir akışı sağlayın ve yalnızca devam etmek için gerekliyse hesap bağlama işlemini isteyin. Kullanıcılar, hesap bağlama sorunları nedeniyle İşlem'den sürekli olarak ayrılıyorsa Google, İşlemi etkin bir şekilde tanıtmaz. Bu da işlemin kullanıcı trafiğini azaltabilir.

Not: Hesap bağlamanın uygulandığı bir İşlem oluşturmak için Actions Builder'ı kullanmanız gerekir.

Kullanıcının doğrulanıp doğrulanmadığını kontrol etme ve hesap bağlama akışını başlatma

1. Actions Console'da Actions Builder projenizi açın.
2. İşleminizde hesap bağlamayı başlatmak için yeni bir sahne oluşturun:
   1. Sahneler'i tıklayın.
   2. Yeni bir sahne eklemek için ekle (+) simgesini tıklayın.
3. Yeni oluşturulan sahnede Koşullar için ekle simgesini tıklayın.
4. Görüşmeyle ilişkilendirilen kullanıcının doğrulanmış bir kullanıcı olup olmadığını kontrol eden bir koşul ekleyin. Kontrol başarısız olursa İşleminiz görüşme sırasında hesap bağlama işlemi gerçekleştiremez ve hesap bağlamayı gerektirmeyen işlevlere erişim sağlamaya devam etmelidir.
   1. Koşul bölümündeki Enter new expression alanına aşağıdaki mantığı girin: user.verificationStatus != "VERIFIED"
   2. Geçiş bölümünde, hesap bağlama gerektirmeyen bir düzen veya yalnızca konuklara özel işleve giriş noktası olan bir düzen seçin.

1. Koşullar için ekle simgesini tıklayın.
2. Kullanıcının ilişkili bir kimliği yoksa hesap bağlama akışını tetiklemek için bir koşul ekleyin.
   1. Koşul bölümündeki Enter new expression alanına aşağıdaki mantığı girin: user.verificationStatus == "VERIFIED"
   2. Geçiş bölümünde, Hesap Bağlama sistem sahnesini seçin.
   3. Kaydet'i tıklayın.

Kaydettikten sonra projenize <SceneName>_AccountLinking adlı yeni bir hesap bağlama sistemi düzeni eklenir.

Hesap bağlama sahnesini özelleştirin

1. Sahneler bölümünde, hesap bağlama sistemi sahnesini seçin.
2. İstem gönder'i tıklayın ve işlemin neden kimliğine erişmesi gerektiğini kullanıcıya açıklamak için kısa bir cümle ekleyin (örneğin, "Tercihlerinizi kaydetmek için").
3. Kaydet'i tıklayın.

1. Koşullar bölümünde, Kullanıcı hesap bağlamayı başarıyla tamamlarsa'yı tıklayın.
2. Kullanıcı, hesabını bağlamayı kabul ederse akışın nasıl devam edeceğini yapılandırın. Örneğin, gerekli olan özel iş mantığını işlemesi ve kaynak sahneye geri dönmesi için webhook'u çağırın.
3. Kaydet'i tıklayın.

1. Koşullar bölümünde, Kullanıcı hesap bağlamayı iptal eder veya reddederse'yi tıklayın.
2. Kullanıcı, hesabını bağlamayı kabul etmezse akışın nasıl devam edeceğini yapılandırın. Örneğin, onaylama mesajı gönderin ve kullanıcıları, hesap bağlamayı gerektirmeyen işlevler sunan sahnelere yönlendirin.
3. Kaydet'i tıklayın.

1. Koşullar bölümünde, Sistem veya ağ hatası oluşursa'yı tıklayın.
2. Hesap bağlama akışı sistem veya ağ hataları nedeniyle tamamlanamıyorsa akışın nasıl devam edeceğini yapılandırın. Örneğin, onaylama mesajı gönderin ve kullanıcıları, hesap bağlamayı gerektirmeyen işlevler sunan sahnelere yönlendirin.
3. Kaydet'i tıklayın.

Veri erişim isteklerini işleme

Asistan isteği erişim jetonu içeriyorsa öncelikle erişim jetonunun geçerli olduğundan ve süresinin dolmadığından emin olun, ardından kullanıcı hesabı veritabanınızdan jetonla ilişkili kullanıcı hesabını alın.