OAuth를 사용한 Google 계정 연결

계정은 업계 표준 OAuth 2.0 암시적승인 코드 흐름을 사용하여 연결됩니다. 서비스에서 OAuth 2.0을 준수하는 승인토큰 교환 엔드포인트를 지원해야 합니다.

隐式流程中,Google 会在用户的浏览器中打开您的授权端点。成功登录后,系统会将长期访问令牌返回到 Google。现在,从 Google 发送的每个请求中都包含此访问令牌。

授权代码流程中,您需要两个端点:

  • 授权端点 - 向尚未登录的用户显示登录界面。授权端点还会创建一个短期授权代码,用于记录用户针对所请求的访问权限的同意情况。

  • 令牌交换端点,负责两种交换类型:

    1. 将授权代码交换为长期刷新令牌和短期访问令牌。这种交换会在用户完成帐号关联流程时进行。
    2. 将长期有效的刷新令牌交换为短期访问令牌。当 Google 需要新的访问令牌时,由于此令牌已过期,因此出现这种交换。

选择 OAuth 2.0 流程

虽然隐式数据流的实现过程更简单,但 Google 建议隐式数据流签发的访问令牌永远不会过期。这是因为在令牌随隐式流程过期后,用户被迫再次关联自己的帐号。出于安全考虑,如果您需要令牌过期,我们强烈建议您改为使用授权代码流程。

设计准则

本部分将介绍针对 OAuth 关联流程托管的用户屏幕的设计要求和建议。在由 Google 的应用调用后,您的平台会向用户显示“登录 Google”页面和帐号关联屏幕。用户同意关联帐号后,会被重定向回 Google 的应用。

此图显示了用户将其 Google 帐号与身份验证系统关联的步骤。第一个屏幕截图显示了用户从您的平台发起的关联。第二张图片展示了用户登录 Google 的界面,第三张图片显示了用户同意将其 Google 帐号与应用关联的确认消息。最后的屏幕截图显示的是已成功在 Google 应用中关联的用户帐号。
图 1.帐号关联用户登录 Google 和同意屏幕。

要求

  1. 您必须告知用户该用户帐号将与 Google 关联,而不是与特定 Google 产品(例如 Google Home 或 Google 助理)关联。

建议

建议您执行以下操作:

  1. 显示 Google 的隐私权政策。在同意屏幕上添加指向 Google 隐私权政策的链接。

  2. 要共享的数据。使用简洁明了的语言向用户说明他们的 Google 需要哪些数据以及为何收集这些数据。

  3. 明确的号召性用语。在同意屏幕上提供明确的号召性用语,例如“同意并关联”。这是因为用户需要了解他们需要与 Google 共享哪些数据,才能关联帐号。

  4. 能够取消。如果用户不关联,则可以提供返回或取消的方式。

  5. 清除登录流程。确保用户有明确的登录 Google 帐号的方法,例如用户名和密码字段或使用 Google 帐号登录字段。

  6. 能够解除关联。为用户提供解除关联的机制,例如他们在平台上的帐号设置网址。或者,您也可以添加指向 Google 帐号的链接,以便用户可以管理关联的帐号。

  7. 能够更改用户帐号。推荐一种供用户切换帐号的方法。如果用户往往拥有多个帐号,这一点尤其有用。

    • 如果用户必须关闭同意屏幕才能切换帐号,请向 Google 发送一个可恢复错误,以便用户通过 OAuth 关联隐式流程登录所需帐号。
  8. 添加徽标。在同意屏幕上显示公司徽标。 根据样式指南放置徽标。如果您还希望显示 Google 的徽标,请参阅徽标和商标

프로젝트 만들기

계정 연결을 사용할 프로젝트를 만들려면 다음 단계를 따르세요.

  1. Go to the Google API Console.
  2. 프로젝트 생성을 클릭 하십시오 .
  3. 이름을 입력하거나 생성 된 제안을 수락하십시오.
  4. 나머지 필드를 확인하거나 편집하십시오.
  5. 작성을 클릭 하십시오 .

프로젝트 ID를 보려면

  1. Go to the Google API Console.
  2. 방문 페이지의 표에서 프로젝트를 찾으십시오. 프로젝트 ID가 ID 열에 나타납니다.

Google 계정 연결 프로세스에는 사용자에게 데이터 액세스를 요청하는 애플리케이션, 요청하는 데이터의 종류, 적용되는 약관을 알리는 동의 화면이 포함됩니다. Google API 클라이언트 ID를 생성하기 전에 OAuth 동의 화면을 구성해야 합니다.

  1. Google API 콘솔의 OAuth 동의 화면 페이지를 엽니다.
  2. 메시지가 표시되면 방금 만든 프로젝트를 선택합니다.
  3. 'OAuth 동의 화면' 페이지에서 양식을 작성하고 '저장' 버튼을 클릭합니다.

    애플리케이션 이름: 동의를 요청하는 애플리케이션의 이름입니다. 이름은 애플리케이션을 정확하게 반영해야 하며 사용자가 다른 곳에서 보는 애플리케이션 이름과 일치해야 합니다. 계정 연결 동의 화면에 애플리케이션 이름이 표시됩니다.

    애플리케이션 로고: 사용자가 앱을 알아보는 데 도움이 되는 동의 화면의 이미지입니다. 계정 연결 동의 화면과 계정 설정에 로고가 표시됩니다.

    지원 이메일: 사용자가 동의에 대한 질문을 하기 위해 연락하는 데 사용됩니다.

    Google API의 범위: 범위를 통해 애플리케이션에서 사용자의 비공개 Google 데이터에 액세스할 수 있습니다. Google 계정 연결 사용 사례의 경우 기본 범위 (이메일, 프로필, openid)로 충분하므로 민감한 범위를 추가할 필요가 없습니다. 일반적으로 사전에 요청하는 대신 액세스가 필요할 때 점진적으로 범위를 요청하는 것이 좋습니다. 자세히 알아보기

    승인된 도메인: 나와 내 사용자를 보호하기 위해 Google은 OAuth를 사용하여 인증하는 애플리케이션만 승인된 도메인을 사용하도록 허용합니다. 애플리케이션의 링크는 승인된 도메인에서 호스팅되어야 합니다. 자세히 알아보기

    애플리케이션 홈페이지 링크: 애플리케이션의 홈페이지입니다. 승인된 도메인에서 호스팅되어야 합니다.

    애플리케이션 개인정보처리방침 링크: Google 계정 연결 동의 화면에 표시됩니다. 승인된 도메인에서 호스팅되어야 합니다.

    애플리케이션 서비스 약관 링크 (선택사항): 승인된 도메인에서 호스팅되어야 합니다.

    그림 1. 가상 애플리케이션인 Tunery의 Google 계정 연결 동의 화면

  4. '인증 상태'를 확인하고 신청서에 인증이 필요하면 '인증을 위해 제출' 버튼을 클릭하여 인증 신청서를 제출합니다. 자세한 내용은 OAuth 인증 요구사항을 참고하세요.

OAuth 서버 구현

인증 코드 흐름의 OAuth는 2.0 서버 구현은 서비스가 HTTPS로 사용할 수 있도록 두 개의 엔드 포인트로 구성되어 있습니다. 첫 번째 끝점은 데이터 액세스에 대한 사용자 동의를 찾거나 얻는 권한 부여 끝점입니다. 권한 부여 끝점은 아직 로그인하지 않은 사용자에게 로그인 UI를 제공하고 요청된 액세스에 대한 동의를 기록합니다. 두 번째 끝점은 사용자가 서비스에 액세스할 수 있는 권한을 부여하는 토큰이라고 하는 암호화된 문자열을 얻는 데 사용되는 토큰 교환 끝점입니다.

Google 애플리케이션이 서비스의 API 중 하나를 호출해야 하는 경우 Google은 이러한 엔드포인트를 함께 사용하여 사용자가 대신 이러한 API를 호출할 수 있는 권한을 얻습니다.

Google에서 시작한 OAuth 2.0 인증 코드 흐름 세션에는 다음 흐름이 있습니다.

  1. Google은 사용자의 브라우저에서 인증 엔드포인트를 엽니다. 작업에 대한 음성 전용 기기에서 흐름이 시작된 경우 Google은 실행을 전화로 전송합니다.
  2. 사용자가 아직 로그인하지 않은 경우 로그인하고, 아직 권한을 부여하지 않은 경우 Google에 API로 데이터에 액세스할 수 있는 권한을 부여합니다.
  3. 귀하의 서비스는 인증 코드를 생성하고 Google에 반환합니다. 이렇게 하려면 요청에 첨부된 인증 코드를 사용하여 사용자의 브라우저를 다시 Google로 리디렉션합니다.
  4. 구글은 코드의 진위를 확인하고 액세스 토큰새로 고침 토큰을 반환 토큰 교환 엔드 포인트에 인증 코드를 전송합니다. 액세스 토큰은 서비스에서 API에 액세스하기 위한 자격 증명으로 수락하는 단기 토큰입니다. 새로 고침 토큰은 Google에서 저장하고 만료될 때 새 액세스 토큰을 얻는 데 사용할 수 있는 수명이 긴 토큰입니다.
  5. 사용자가 계정 연결 흐름을 완료한 후 Google에서 보내는 모든 후속 요청에는 액세스 토큰이 포함됩니다.

승인 요청 처리

OAuth 2.0 인증 코드 흐름을 사용하여 계정 연결을 수행해야 하는 경우 Google은 다음 매개변수가 포함된 요청과 함께 사용자를 인증 엔드포인트로 보냅니다.

권한 부여 엔드포인트 매개변수
client_id Google에 할당한 클라이언트 ID입니다.
redirect_uri 이 요청에 대한 응답을 보내는 URL입니다.
state 리디렉션 URI에서 변경되지 않고 Google에 다시 전달되는 부기 값입니다.
scope 옵션 : 구글에 대한 승인을 요청하는 데이터를 지정 범위 문자열의 공백으로 구분 된 세트.
response_type 응답에서 반환할 값의 유형입니다. 의 OAuth 2.0 인증 코드 흐름에 대한 응답 유형은 항상 code .
user_locale 의 Google 계정 언어 설정 RFC5646의 사용자가 선호하는 언어로 콘텐츠를 현지화하는 데 사용되는 형식.

권한 부여 엔드 포인트에서 사용할 수있는 경우 예를 들어, https://myservice.example.com/auth , 요청은 다음과 같습니다

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&scope=REQUESTED_SCOPES&response_type=code&user_locale=LOCALE

승인 엔드포인트가 로그인 요청을 처리하도록 하려면 다음 단계를 수행하십시오.

  1. 있는지 확인 client_id Google에 할당 된 클라이언트 ID와 일치하고 있음을 redirect_uri 서비스에 대한 Google에서 제공 리디렉션 URL과 일치합니다. 이러한 검사는 의도하지 않거나 잘못 구성된 클라이언트 앱에 대한 액세스 권한 부여를 방지하는 데 중요합니다. 여러하여 OAuth 2.0 흐름을 지원하는 경우도 확인 response_type 있다 code .
  2. 사용자가 서비스에 로그인되어 있는지 확인합니다. 사용자가 로그인하지 않은 경우 서비스의 로그인 또는 가입 절차를 완료합니다.
  3. Google에서 API에 액세스하는 데 사용할 인증 코드를 생성합니다. 인증 코드는 모든 문자열 값이 될 수 있지만 사용자, 클라이언트 토큰 및 코드 만료 시간을 고유하게 나타내야 하며 추측할 수 없어야 합니다. 일반적으로 약 10분 후에 만료되는 인증 코드를 발행합니다.
  4. URL에 의해 지정된 것을 확인 redirect_uri 매개 변수는 다음과 같은 형식이 있습니다
      https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
      https://oauth-redirect-sandbox.googleusercontent.com/r/YOUR_PROJECT_ID
      
  5. 에 의해 지정된 URL로 사용자의 브라우저를 리디렉션 redirect_uri 매개 변수입니다. 당신은 추가하여 리디렉션 할 때 방금 생성 된 인증 코드와 수정되지 않은 원래 상태 값을 포함 codestate 매개 변수를. 다음은 결과 URL의 예는 다음과 같습니다
    https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID?code=AUTHORIZATION_CODE&state=STATE_STRING

토큰 교환 요청 처리

서비스의 토큰 교환 엔드포인트는 두 가지 종류의 토큰 교환을 담당합니다.

  • 액세스 토큰 및 갱신 토큰에 대한 인증 코드 교환
  • 액세스 토큰에 대한 갱신 토큰 교환

토큰 교환 요청에는 다음 매개변수가 포함됩니다.

토큰 교환 엔드포인트 매개변수
client_id 요청 출처를 Google로 식별하는 문자열입니다. 이 문자열은 Google의 고유 식별자로 시스템에 등록되어야 합니다.
client_secret 서비스를 위해 Google에 등록한 비밀 문자열입니다.
grant_type 교환되는 토큰의 유형입니다. 그것은 하나의 authorization_code 또는 refresh_token .
codegrant_type=authorization_code 이 매개 변수는 구글이 중 하나를 당신의 로그인 또는 토큰 교환 엔드 포인트에서받은 코드입니다.
redirect_uri 경우 grant_type=authorization_code ,이 파라미터는 초기 인증 요청에 사용하는 URL이다.
refresh_tokengrant_type=refresh_token 이 매개 변수는 구글이 토큰 교환 엔드 포인트로부터받은 토큰 새로 고침입니다.
액세스 토큰 및 갱신 토큰에 대한 인증 코드 교환

사용자가 로그인하고 인증 엔드포인트가 Google에 단기 인증 코드를 반환하면 Google은 토큰 교환 엔드포인트에 액세스 토큰과 새로 고침 토큰에 대한 인증 코드를 교환하라는 요청을 보냅니다.

이러한 요청에 대해 값 grant_type 입니다 authorization_code , 그리고 값 code 이전에 Google에 부여 된 인증 코드의 값입니다. 다음은 접근 토큰과 갱신 토큰에 대한 인증 코드 교환 요청의 예입니다.

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&grant_type=authorization_code&code=AUTHORIZATION_CODE&redirect_uri=REDIRECT_URI

액세스에 대한 인증 코드를 교환 토큰 및 새로 고침 토큰에 대한 토큰 교환 엔드 포인트 응답 POST 다음 단계를 실행하여 요청 :

  1. 확인 그 client_id 식별합니다 공인 원점으로하고, 그 요청 기원 client_secret 예상 값과 일치합니다.
  2. 인증 코드가 유효하고 만료되지 않았는지, 요청에 지정된 클라이언트 ID가 인증 코드와 연관된 클라이언트 ID와 일치하는지 확인하십시오.
  3. URL에 의해 지정되었는지 확인 redirect_uri 파라미터는 초기 인증 요청시 사용되는 값과 동일하다.
  4. 위의 조건을 모두 확인할 수없는 경우가있는 HTTP 400 잘못된 요청 오류를 반환 {"error": "invalid_grant"} 몸으로.
  5. 그렇지 않으면 인증 코드의 사용자 ID를 사용하여 새로 고침 토큰과 액세스 토큰을 생성하십시오. 이러한 토큰은 임의의 문자열 값이 될 수 있지만 사용자와 클라이언트를 고유하게 나타내야 하며 토큰이 대상이 되어야 하며 추측할 수 없어야 합니다. 액세스 토큰의 경우 일반적으로 토큰을 발급한 후 1시간인 토큰의 만료 시간도 기록하십시오. 새로 고침 토큰은 만료되지 않습니다.
  6. 가 HTTPS 응답의 본문에 다음과 같은 JSON 오브젝트를 돌려 :
    {
    "token_type": "Bearer",
    "access_token": "ACCESS_TOKEN",
    "refresh_token": "REFRESH_TOKEN",
    "expires_in": SECONDS_TO_EXPIRATION
    }
    

Google은 사용자의 액세스 토큰과 새로 고침 토큰을 저장하고 액세스 토큰의 만료를 기록합니다. 액세스 토큰이 만료되면 Google은 새로 고침 토큰을 사용하여 토큰 교환 엔드포인트에서 새 액세스 토큰을 가져옵니다.

액세스 토큰에 대한 갱신 토큰 교환

액세스 토큰이 만료되면 Google은 토큰 교환 엔드포인트에 요청을 보내 새로 고침 토큰을 새 액세스 토큰으로 교환합니다.

이러한 요청에 대해 값 grant_type 되어 refresh_token , 그리고 값 refresh_token 이전에 Google에 부여 토큰 새로 고침의 값입니다. 다음은 갱신 토큰을 액세스 토큰으로 교환하기 위한 요청의 예입니다.

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&grant_type=refresh_token&refresh_token=REFRESH_TOKEN

액세스 토큰 토큰 새로 고침을 교환하려면에 토큰 교환 엔드 포인트 응답 POST 다음 단계를 실행하여 요청 :

  1. 확인 그 client_id 식별 요청 구글 등의 기원, 그리고 그 client_secret 예상 값과 일치합니다.
  2. 새로 고침 토큰이 유효한지, 요청에 지정된 클라이언트 ID가 새로 고침 토큰과 연결된 클라이언트 ID와 일치하는지 확인합니다.
  3. 위의 조건을 모두 확인할 수없는 경우가있는 HTTP 400 잘못된 요청 오류를 반환 {"error": "invalid_grant"} 몸으로.
  4. 그렇지 않으면 갱신 토큰의 사용자 ID를 사용하여 액세스 토큰을 생성하십시오. 이러한 토큰은 임의의 문자열 값이 될 수 있지만 사용자와 클라이언트를 고유하게 나타내야 하며 토큰이 대상이 되어야 하며 추측할 수 없어야 합니다. 액세스 토큰의 경우 일반적으로 토큰을 발급한 후 한 시간 후에 토큰의 만료 시간도 기록하십시오.
  5. HTTPS 응답 본문에 다음 JSON 객체를 반환합니다.
    {
    "token_type": "Bearer",
    "access_token": " ACCESS_TOKEN ",
    "expires_in": SECONDS_TO_EXPIRATION
    }
사용자 정보 요청 처리

사용자 정보 엔드 포인트는 의 OAuth 2.0 보호 자원입니다 링크 된 사용자에 대한 반환 청구가. 다음 사용 사례를 제외하고 userinfo 끝점을 구현하고 호스팅하는 것은 선택 사항입니다.

토큰 엔드포인트에서 액세스 토큰이 성공적으로 검색되면 Google은 연결된 사용자에 대한 기본 프로필 정보를 검색하기 위해 userinfo 엔드포인트에 요청을 보냅니다.

userinfo 엔드포인트 요청 헤더
Authorization header Bearer 유형의 액세스 토큰입니다.

예를 들어, 사용자 정보 엔드 포인트에서 사용할 수있는 경우 https://myservice.example.com/userinfo , 요청은 다음과 같습니다

GET /userinfo HTTP/1.1
Host: myservice.example.com
Authorization: Bearer ACCESS_TOKEN

userinfo 엔드포인트가 요청을 처리하도록 하려면 다음 단계를 수행하십시오.

  1. Authorization 헤더에서 액세스 토큰을 추출하고 액세스 토큰과 연결된 사용자에 대한 정보를 반환합니다.
  2. 액세스 토큰이 유효하지 않은 경우, 사용을 가진 HTTP 401 권한 오류를 반환 WWW-Authenticate 응답 헤더. 다음은 사용자 정보 오류 응답의 예는 다음과
    HTTP/1.1 401 Unauthorized
    WWW-Authenticate: error="invalid_token",
    error_description="The Access Token expired"
    
    무단 또는 다른 실패 오류 응답이 연결 과정에서 리턴된다 (401), 오류가 복구 불가능한 될 경우, 검색된 토큰이 폐기되며 사용자가있을 것이다 연결 프로세스를 다시 시작합니다.
  3. 액세스 토큰이 유효, 반환 및 HTTPS 응답의 본문에 다음과 같은 JSON 객체와 HTTP 200 응답의 경우 :

    {
    "sub": "USER_UUID",
    "email": "EMAIL_ADDRESS",
    "given_name": "FIRST_NAME",
    "family_name": "LAST_NAME",
    "name": "FULL_NAME",
    "picture": "PROFILE_PICTURE",
    }
    
    당신의 사용자 정보 엔드 포인트가 다시 표시 HTTP 200 성공 응답하는 경우는, 토큰 검색 및 청구은 사용자의 Google에 등록 계정.

    사용자 정보 끝점 응답
    sub 시스템에서 사용자를 식별하는 고유 ID입니다.
    email 사용자의 이메일 주소입니다.
    given_name 옵션 : 사용자의 성.
    family_name 옵션 : 사용자의 성.
    name 옵션 : 사용자의 전체 이름입니다.
    picture 옵션 : 사용자의 프로필 사진.

구현 확인

당신은 사용하여 구현을 확인할 수 의 OAuth 2.0 놀이터 도구를.

도구에서 다음 단계를 수행합니다.

  1. 구성을 클릭 의 OAuth 2.0 구성 창을 엽니 다.
  2. 의 OAuth 흐름 필드에 클라이언트 측을 선택합니다.
  3. OAuth를 엔드 포인트 필드에서 사용자 지정을 선택합니다.
  4. 해당 필드에 OAuth 2.0 엔드포인트와 Google에 할당한 클라이언트 ID를 지정합니다.
  5. 1 단계 섹션에서 모든 Google 범위를 선택하지 마십시오. 대신 이 필드를 비워 두거나 서버에 유효한 범위를 입력하십시오(OAuth 범위를 사용하지 않는 경우 임의의 문자열). 작업이 완료되면, API 승인을 클릭합니다.
  6. 단계 2단계 3 부에서의 OAuth 2.0 유동 통과 의도 한대로 각 단계가 제대로 작동하는지 확인.

당신은 사용하여 구현을 검증 할 수 있습니다 구글 계정에 연결하면 데모 도구를.

도구에서 다음 단계를 수행합니다.

  1. 로그인 구글 버튼을 클릭합니다.
  2. 연결할 계정을 선택합니다.
  3. 서비스 ID를 입력합니다.
  4. 선택적으로 액세스를 요청할 하나 이상의 범위를 입력합니다.
  5. 시작 데모를 클릭합니다.
  6. 메시지가 표시되면 연결 요청에 동의하고 거부할 수 있는지 확인합니다.
  7. 플랫폼으로 리디렉션되었는지 확인합니다.