حساب‌ها با استفاده از استاندارد صنعتی OAuth 2.0 ضمنی و جریان‌های کد مجوز مرتبط هستند. سرویس شما باید از مجوز سازگار با OAuth 2.0 و نقاط پایانی تبادل رمز پشتیبانی کند.
در جریان ضمنی ، Google نقطه پایانی مجوز شما را در مرورگر کاربر باز می‌کند. پس از ورود موفقیت آمیز به سیستم، یک توکن دسترسی طولانی مدت به Google برمی گردانید. این نشانه دسترسی اکنون در هر درخواست ارسال شده از Google گنجانده شده است.
در جریان کد مجوز ، به دو نقطه پایانی نیاز دارید:
نقطه پایانی مجوز ، که رابط کاربری ورود به سیستم را به کاربرانی که قبلاً وارد سیستم نشده‌اند ارائه می‌کند. نقطه پایانی مجوز همچنین یک کد مجوز کوتاه مدت ایجاد می‌کند تا رضایت کاربران را با دسترسی درخواستی ثبت کند.
نقطه پایانی تبادل توکن ، که مسئول دو نوع مبادله است:
- یک کد مجوز را برای یک نشانه رفرش طولانی مدت و یک رمز دسترسی کوتاه مدت مبادله می کند. این تبادل زمانی اتفاق می‌افتد که کاربر از جریان پیوند حساب عبور کند.
- یک نشانه رفرش طولانی مدت را با یک توکن دسترسی کوتاه مدت مبادله می کند. این مبادله زمانی اتفاق می‌افتد که گوگل به یک توکن دسترسی جدید نیاز دارد، زیرا رمز دسترسی منقضی شده است.
یک جریان OAuth 2.0 را انتخاب کنید
اگرچه اجرای جریان ضمنی ساده تر است، اما گوگل توصیه می کند که نشانه های دسترسی صادر شده توسط جریان ضمنی هرگز منقضی نمی شوند. این به این دلیل است که کاربر مجبور است پس از انقضای یک توکن با جریان ضمنی، حساب خود را دوباره پیوند دهد. اگر به دلایل امنیتی نیاز به انقضای توکن دارید، اکیداً توصیه می کنیم که به جای آن از جریان کد مجوز استفاده کنید.
دستورالعمل های طراحی
این بخش الزامات طراحی و توصیه‌هایی را برای صفحه کاربری که برای جریان‌های پیوند OAuth میزبانی می‌کنید، توضیح می‌دهد. پس از فراخوانی آن توسط برنامه Google، پلتفرم شما یک صفحه ورود به سیستم گوگل و صفحه نمایش رضایت حساب را به کاربر نمایش می دهد. کاربر پس از رضایت خود برای پیوند دادن حساب ها به برنامه Google هدایت می شود.
الزامات
- باید اعلام کنید که حساب کاربر به Google مرتبط خواهد شد، نه یک محصول خاص Google مانند Google Home یا Google Assistant.
توصیه ها
توصیه می کنیم موارد زیر را انجام دهید:
سیاست حفظ حریم خصوصی Google را نمایش دهید. پیوندی به خط مشی رازداری Google در صفحه رضایت اضافه کنید.
داده ها به اشتراک گذاشته شود. از زبان واضح و مختصر استفاده کنید تا به کاربر بگویید گوگل به چه اطلاعاتی از او نیاز دارد و چرا.
فراخوانی برای اقدام را پاک کنید. یک فراخوان برای اقدام واضح در صفحه رضایت خود، مانند «موافق و پیوند» بیان کنید. این به این دلیل است که کاربران باید بدانند چه داده‌هایی را باید با Google به اشتراک بگذارند تا حساب‌های خود را پیوند دهند.
قابلیت لغو. راهی برای کاربران فراهم کنید که در صورت عدم پیوند، به عقب برگردند یا لغو کنند.
فرآیند ورود به سیستم را پاک کنید. مطمئن شوید که کاربران روش‌های واضحی برای ورود به حساب Google خود دارند، مانند فیلدهایی برای نام کاربری و رمز عبور یا ورود با Google .
قابلیت قطع لینک مکانیزمی را برای لغو پیوند به کاربران ارائه دهید، مانند URL به تنظیمات حساب آنها در پلتفرم شما. از طرف دیگر، می‌توانید پیوندی به حساب Google اضافه کنید تا کاربران بتوانند حساب پیوند شده خود را مدیریت کنند.
امکان تغییر حساب کاربری روشی را برای کاربران پیشنهاد کنید تا حساب(های) خود را تغییر دهند. این به ویژه در صورتی مفید است که کاربران تمایل به داشتن چندین حساب داشته باشند.
- اگر کاربر باید صفحه رضایت را برای تغییر حساب ببندد، یک خطای قابل بازیابی به Google ارسال کنید تا کاربر بتواند با پیوند OAuth و جریان ضمنی به حساب مورد نظر وارد شود.
لوگوی خود را درج کنید. لوگوی شرکت خود را روی صفحه رضایت نمایش دهید. از دستورالعمل های سبک خود برای قرار دادن لوگوی خود استفاده کنید. اگر می‌خواهید نشان‌واره Google را نیز نمایش دهید، نشان‌ها و علائم تجاری را ببینید.
پروژه را ایجاد کنید
برای ایجاد پروژه خود برای استفاده از پیوند حساب:
- Go to the Google API Console.
- روی ایجاد پروژه کلیک کنید
- یک نام را وارد کنید یا پیشنهاد تولید شده را بپذیرید.
- سایر قسمتهای باقی مانده را تأیید یا ویرایش کنید.
- روی ایجاد کلیک کنید
برای مشاهده شناسه پروژه خود:
- Go to the Google API Console.
- پروژه خود را در جدول در صفحه فرود بیابید. شناسه پروژه در ستون ID به نظر می رسد.
صفحه رضایت OAuth خود را پیکربندی کنید
فرآیند پیوند دادن حساب Google شامل یک صفحه رضایت است که به کاربران برنامه‌ای که درخواست دسترسی به داده‌هایشان را درخواست می‌کند، نوع داده‌هایی که درخواست می‌کنند و شرایطی که اعمال می‌شود، می‌گوید. قبل از ایجاد شناسه سرویس گیرنده Google API، باید صفحه رضایت OAuth خود را پیکربندی کنید.
- صفحه نمایش رضایت OAuth کنسول Google APIs را باز کنید.
- در صورت درخواست، پروژه ای را که ایجاد کرده اید انتخاب کنید.
در صفحه «صفحه رضایت OAuth»، فرم را پر کنید و روی دکمه «ذخیره» کلیک کنید.
نام برنامه: نام درخواستی که درخواست رضایت می کند. نام باید دقیقاً منعکس کننده برنامه شما باشد و با نام برنامه ای که کاربران در جاهای دیگر می بینند سازگار باشد. نام برنامه در صفحه رضایت پیوند حساب نشان داده می شود.
لوگوی برنامه: تصویری در صفحه رضایت که به کاربران کمک می کند برنامه شما را تشخیص دهند. نشان‌واره در صفحه رضایت پیوند حساب و در تنظیمات حساب نشان داده می‌شود
ایمیل پشتیبانی: برای اینکه کاربران با سؤالاتی در مورد رضایت خود با شما تماس بگیرند.
Scopes for Google API: Scopes به برنامه شما اجازه می دهد تا به داده های Google خصوصی کاربر شما دسترسی داشته باشد. برای مورد استفاده از پیوند حساب Google، محدوده پیش‌فرض (ایمیل، نمایه، openid) کافی است، نیازی به افزودن دامنه‌های حساس ندارید. به طور کلی بهترین روش این است که دامنه ها را به صورت تدریجی، در زمانی که دسترسی لازم است، درخواست کنید، نه از قبل. بیشتر بدانید .
دامنه‌های مجاز: برای محافظت از شما و کاربرانتان، Google فقط به برنامه‌هایی که با استفاده از OAuth احراز هویت می‌شوند اجازه استفاده از دامنه‌های مجاز را می‌دهد. پیوندهای برنامه های شما باید در دامنه های مجاز میزبانی شوند. بیشتر بدانید .
پیوند صفحه اصلی برنامه: صفحه اصلی برنامه شما. باید در یک دامنه مجاز میزبانی شود.
پیوند خط‌مشی رازداری برنامه: در صفحه رضایت پیوند دادن حساب Google نشان داده می‌شود. باید در یک دامنه مجاز میزبانی شود.
پیوند شرایط خدمات برنامه (اختیاری): باید در یک دامنه مجاز میزبانی شود.
شکل 1 . صفحه رضایت پیوند دادن حساب Google برای یک برنامه ساختگی، Tunery
«وضعیت تأیید» را علامت بزنید، اگر برنامه شما نیاز به تأیید دارد، روی دکمه «ارسال برای تأیید» کلیک کنید تا درخواست خود را برای تأیید ارسال کنید. برای جزئیات به الزامات تأیید OAuth مراجعه کنید.
سرور OAuth خود را پیاده سازی کنید
برای پشتیبانی از جریان ضمنی OAuth 2.0، سرویس شما یک نقطه پایانی مجوز را توسط HTTPS در دسترس قرار می دهد. این نقطه پایانی مسئول احراز هویت و کسب رضایت از کاربران برای دسترسی به داده ها است. نقطه پایانی مجوز یک رابط کاربری برای ورود به سیستم به کاربرانی که قبلاً وارد سیستم نشده‌اند ارائه می‌کند و رضایت را برای دسترسی درخواستی ثبت می‌کند.
هنگامی که یک برنامه Google باید با یکی از APIهای مجاز سرویس شما تماس بگیرد، Google از این نقطه پایانی برای دریافت مجوز از کاربران شما برای تماس با این APIها از طرف آنها استفاده می کند.
یک جلسه جریان ضمنی OAuth 2.0 که توسط Google آغاز شده است دارای جریان زیر است:
- Google نقطه پایانی مجوز شما را در مرورگر کاربر باز می کند. اگر کاربر قبلاً وارد سیستم نشده باشد، وارد سیستم می‌شود، و به Google اجازه می‌دهد تا با API شما به داده‌های خود دسترسی داشته باشد، اگر قبلاً اجازه نداده باشد.
- سرویس شما یک نشانه دسترسی ایجاد می‌کند و آن را به Google برمی‌گرداند. برای انجام این کار، مرورگر کاربر را با نشانه دسترسی متصل به درخواست به Google هدایت کنید.
- Google APIهای سرویس شما را فراخوانی می‌کند و با هر درخواست رمز دسترسی را پیوست می‌کند. سرویس شما تأیید می‌کند که نشانه دسترسی به Google مجوز دسترسی به API را می‌دهد و سپس تماس API را تکمیل می‌کند.
رسیدگی به درخواست های مجوز
هنگامی که یک برنامه Google باید پیوند حساب را از طریق جریان ضمنی OAuth 2.0 انجام دهد، Google کاربر را با درخواستی که شامل پارامترهای زیر است به نقطه پایانی مجوز شما می فرستد:
| پارامترهای نقطه پایانی مجوز | |
|---|---|
client_id | شناسه مشتری که به Google اختصاص داده اید. |
redirect_uri | آدرس اینترنتی که پاسخ این درخواست را به آن ارسال می کنید. |
state | یک مقدار حسابداری که بدون تغییر در URI تغییر مسیر به Google بازگردانده می شود. |
response_type | نوع مقداری که باید در پاسخ برگردانده شود. برای جریان ضمنی OAuth 2.0، نوع پاسخ همیشه token است. |
user_locale | تنظیم زبان حساب Google در قالب RFC5646 برای بومی سازی محتوای شما به زبان دلخواه کاربر استفاده می شود. |
به عنوان مثال، اگر نقطه پایانی مجوز شما در https://myservice.example.com/auth موجود باشد، ممکن است یک درخواست به شکل زیر باشد:
GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token&user_locale=LOCALE
برای اینکه نقطه پایانی مجوز شما به درخواست‌های ورود به سیستم رسیدگی کند، مراحل زیر را انجام دهید:
برای جلوگیری از اعطای دسترسی به برنامه های مشتری ناخواسته یا پیکربندی نادرست، مقادیر
client_idوredirect_uriرا تأیید کنید:- تأیید کنید که
client_idبا شناسه مشتری که به Google اختصاص داده اید مطابقت دارد. - تأیید کنید که URL مشخص شده توسط پارامتر
redirect_uriشکل زیر را دارد:https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID https://oauth-redirect-sandbox.googleusercontent.com/r/YOUR_PROJECT_ID
- تأیید کنید که
بررسی کنید که آیا کاربر به سرویس شما وارد شده است یا خیر. اگر کاربر وارد سیستم نشده است، جریان ورود به سیستم یا ثبت نام سرویس خود را تکمیل کنید.
یک نشانه دسترسی برای Google ایجاد کنید تا از آن برای دسترسی به API شما استفاده کند. نشانه دسترسی می‌تواند هر مقدار رشته‌ای باشد، اما باید به‌طور منحصربه‌فرد نشان‌دهنده کاربر و کلاینتی باشد که نشانه برای آن است و نباید قابل حدس زدن باشد.
یک پاسخ HTTP ارسال کنید که مرورگر کاربر را به URL مشخص شده توسط پارامتر
redirect_uriهدایت می کند. تمام پارامترهای زیر را در قطعه URL وارد کنید:-
access_token: نشانه دسترسی که ایجاد کردید -
token_type:bearerرشته -
state: مقدار حالت اصلاح نشده از درخواست اصلی
مثال زیر نمونه ای از URL به دست آمده است:
https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING
-
کنترل‌کننده تغییر مسیر OAuth 2.0 Google رمز دسترسی را دریافت می‌کند و تأیید می‌کند که مقدار state تغییر نکرده است. پس از اینکه Google یک نشانه دسترسی برای سرویس شما به دست آورد، Google این رمز را به تماس های بعدی به API های سرویس شما متصل می کند.
رسیدگی به درخواست های اطلاعات کاربر
نقطه پایانی userinfo یک منبع محافظت شده OAuth 2.0 است که ادعاهای مربوط به کاربر پیوند شده را برمی‌گرداند. پیاده سازی و میزبانی نقطه پایانی اطلاعات کاربر اختیاری است، به جز موارد استفاده زیر:
- ورود به حساب مرتبط با Google One Tap.
- اشتراک بدون اصطکاک در AndroidTV.
پس از اینکه رمز دسترسی با موفقیت از نقطه پایانی نشانه شما بازیابی شد، Google درخواستی را به نقطه پایانی اطلاعات کاربری شما ارسال می کند تا اطلاعات نمایه اولیه کاربر پیوند داده شده را بازیابی کند.
| سرصفحه های درخواست نقطه پایانی کاربر | |
|---|---|
Authorization header | نشانه دسترسی از نوع Bearer. |
به عنوان مثال، اگر نقطه پایانی اطلاعات کاربری شما در https://myservice.example.com/userinfo در دسترس باشد، ممکن است یک درخواست به شکل زیر باشد:
GET /userinfo HTTP/1.1 Host: myservice.example.com Authorization: Bearer ACCESS_TOKEN
برای اینکه نقطه پایانی اطلاعات کاربری شما به درخواست‌ها رسیدگی کند، مراحل زیر را انجام دهید:
- رمز دسترسی را از سربرگ Authorization استخراج کنید و اطلاعات کاربر مرتبط با نشانه دسترسی را برگردانید.
- اگر رمز دسترسی نامعتبر است، با استفاده از سربرگ پاسخ
WWW-Authenticateخطای غیرمجاز HTTP 401 را برگردانید. در زیر نمونه ای از پاسخ خطای userinfo آورده شده است:HTTP/1.1 401 Unauthorized WWW-Authenticate: error="invalid_token", error_description="The Access Token expired"
اگر یک پاسخ خطای 401 غیرمجاز یا هر پاسخ خطای ناموفق دیگری در طول فرآیند پیوند داده شود، خطا غیرقابل بازیابی خواهد بود، رمز بازیابی شده کنار گذاشته می شود و کاربر باید دوباره فرآیند پیوند را آغاز کند. اگر نشانه دسترسی معتبر است، برگردانید و HTTP 200 را با شی JSON زیر در بدنه پاسخ HTTPS پاسخ دهید:
{ "sub": "USER_UUID", "email": "EMAIL_ADDRESS", "given_name": "FIRST_NAME", "family_name": "LAST_NAME", "name": "FULL_NAME", "picture": "PROFILE_PICTURE", }اگر نقطه پایانی اطلاعات کاربری شما یک پاسخ موفقیت آمیز HTTP 200 برگرداند، نشانه و ادعاهای بازیابی شده در برابر حساب Google کاربر ثبت می شود.پاسخ نقطه پایانی اطلاعات کاربر subیک شناسه منحصر به فرد که کاربر را در سیستم شما شناسایی می کند. emailآدرس ایمیل کاربر. given_nameاختیاری: نام کاربر. family_nameاختیاری: نام خانوادگی کاربر. nameاختیاری: نام کامل کاربر. pictureاختیاری: تصویر نمایه کاربر.
اعتبار بخشیدن به اجرای شما
شما می توانید اجرای خود را با استفاده از اعتبار OAuth تأیید 2.0 زمین بازی ابزار است.
در ابزار ، مراحل زیر را انجام دهید:
- کلیک کنید تنظیمات برای باز کردن OAuth تأیید 2.0 پنجره پیکربندی.
- در این زمینه جریان OAuth حفظ، سمت سرویس گیرنده را انتخاب کنید.
- در این زمینه از OAuth نقطه انتهایی، سفارشی را انتخاب کنید.
- نقطه پایانی OAuth 2.0 و شناسه مشتری که به Google اختصاص داده اید را در قسمت های مربوطه مشخص کنید.
- در بخش مرحله 1، انجام هر گونه حوزه گوگل را انتخاب کنید. در عوض ، این قسمت را خالی بگذارید یا یک محدوده معتبر برای سرور خود تایپ کنید (یا اگر از محدوده های OAuth استفاده نمی کنید یک رشته دلخواه). هنگامی که شما انجام می شود، Authorize کلیک کنید رابط های برنامه کاربردی.
- در مرحله 2 مرحله 3 و بخش، از طریق جریان OAuth تأیید 2.0 بروید و بررسی کنید که هر مرحله کار می کند به عنوان در نظر گرفته شده.
شما می توانید اجرای خود را با استفاده از اعتبار حساب Google لینک کردن نسخه ی نمایشی ابزار است.
در ابزار ، مراحل زیر را انجام دهید:
- با کلیک بر روی ثبت نام در با دکمه گوگل.
- حسابی را که می خواهید پیوند دهید انتخاب کنید.
- شناسه سرویس را وارد کنید
- به صورت اختیاری یک یا چند محدوده که درخواست دسترسی به آنها را دارید وارد کنید.
- کلیک کنید شروع نسخه ی نمایشی.
- هنگامی که از شما خواسته شد ، تأیید کنید که می توانید درخواست پیوند را تأیید کرده و رد کنید.
- تأیید کنید که به پلتفرم خود هدایت شده اید.