Dưới đây là một số nguyên tắc về bảo mật và quyền riêng tư dành cho nhà phát triển sử dụng API Trợ lý Google trong dự án.
Uỷ quyền API và ứng dụng
Mọi ứng dụng sử dụng API Trợ lý Google đều phải có thông tin xác thực uỷ quyền xác định ứng dụng gửi đến máy chủ xác thực của Google.
Thường thì các thông tin xác thực này được lưu trữ trong tệp client_secret_<client-id>.json đã tải xuống. Hãy nhớ lưu trữ tệp này ở vị trí mà chỉ ứng dụng của bạn mới có thể truy cập.
Ứng dụng của bạn có thể nhắc người dùng cấp quyền truy cập vào Tài khoản Google của họ. Nếu bạn cho phép, ứng dụng của bạn có thể yêu cầu mã truy cập cho người dùng đó. Những mã thông báo này sẽ hết hạn nhưng bạn có thể làm mới.
Mã thông báo làm mới không được bảo vệ trên thiết bị gây ra rủi ro bảo mật đáng kể. Hãy đảm bảo rằng ứng dụng của bạn:
- Lưu trữ mã làm mới ở một nơi an toàn.
- Cung cấp một cách dễ dàng để xoá mã thông báo khỏi thiết bị. Ví dụ: cung cấp nút "Đăng xuất" để xoá mã thông báo (nếu ứng dụng có giao diện người dùng) hoặc tập lệnh dòng lệnh mà người dùng có thể thực thi.
- Thông báo cho người dùng biết rằng họ có thể huỷ cấp quyền truy cập vào Tài khoản Google của mình. Thao tác này sẽ thu hồi mã làm mới; để sử dụng lại ứng dụng, người dùng cần cấp lại quyền truy cập.
Khi sử dụng xong thiết bị vĩnh viễn, bạn nên xoá tất cả các mã thông báo khỏi thiết bị đó.
Để biết thêm thông tin, hãy xem phần Sử dụng OAuth 2.0 để truy cập API Google.