Łączenie konta Google z OAuth

Konta są połączone za pomocą standardowych w branży przepływów OAuth 2.0 niejawnego i kodu autoryzacji.

Uwaga: przepływ niejawny nie jest obsługiwany w przypadku przepływów MCP, UCP i przepływów obsługiwanych przez agenta. Ogólnie odradzamy korzystanie z niego w przypadku wszystkich nowych integracji. Zamiast tego użyj przepływu kodu autoryzacji.

Twoja usługa musi obsługiwać zgodne z OAuth 2.0 punkty końcowe autoryzacji i wymiany tokenów.

W przepływie niejawnym Google otwiera punkt końcowy autoryzacji w przeglądarce użytkownika. Po zalogowaniu się zwracasz do Google długoterminowy token dostępu. Ten token dostępu jest teraz dołączany do każdego żądania wysyłanego z Google.

W przypadku przepływu kodu autoryzacji potrzebujesz 2 punktów końcowych:

• Punkt końcowy autoryzacji, który wyświetla interfejs logowania użytkownikom, którzy nie są jeszcze zalogowani. Punkt autoryzacji tworzy też krótkotrwały kod autoryzacji, aby rejestrować zgodę użytkowników na żądany dostęp.

• Punkt końcowy wymiany tokenów, który odpowiada za 2 rodzaje wymian:

  1. Wymienia kod autoryzacji na długoterminowy token odświeżania i krótkoterminowy token dostępu. Wymiana następuje, gdy użytkownik przechodzi proces łączenia kont.
  2. Wymienia długotrwały token odświeżania na krótkotrwały token dostępu. Ta wymiana następuje, gdy Google potrzebuje nowego tokena dostępu, ponieważ poprzedni wygasł.

Wybieranie przepływu OAuth 2.0

Chociaż przepływ niejawny jest prostszy do wdrożenia, Google zaleca, aby tokeny dostępu wydawane w ramach tego przepływu nigdy nie wygasały. Dzieje się tak, ponieważ po wygaśnięciu tokena użytkownik musi ponownie połączyć konto z aplikacją w ramach przepływu niejawnego. Jeśli ze względów bezpieczeństwa potrzebujesz wygasania tokena, zdecydowanie zalecamy używanie przepływu kodu autoryzacji.

Uwaga: użyj tych przycisków, aby wybrać przepływ OAuth 2.0, który chcesz wdrożyć. W razie potrzeby treść tego przewodnika zostanie ponownie załadowana, aby dopasować się do Twojego wyboru.

Przepływ niejawny Kod autoryzacji

Wskazówki dotyczące wyglądu

W tej sekcji opisujemy wymagania i zalecenia dotyczące projektu ekranu użytkownika, który hostujesz w przypadku przepływów łączenia OAuth. Gdy aplikacja Google wywoła tę funkcję, platforma wyświetli użytkownikowi stronę logowania w Google i ekran zgody na połączenie kont. Po wyrażeniu zgody na połączenie kont użytkownik zostaje przekierowany z powrotem do aplikacji Google.

Rysunek 1. Ekrany logowania użytkownika na konto Google i ekrany zgody w procesie łączenia kont.

Wymagania

1. Musisz poinformować użytkownika, że jego konto zostanie połączone z Google, a nie z konkretną usługą Google, taką jak Google Home czy Asystent Google.

Rekomendacje

Zalecamy wykonanie tych czynności:

1. Wyświetl Politykę prywatności Google. Na ekranie zgody umieść link do Polityki prywatności Google.

2. Dane, które mają być udostępniane. Używaj jasnego i zwięzłego języka, aby informować użytkowników, jakich danych Google wymaga i dlaczego.

3. Jednoznaczne wezwanie do działania Na ekranie uzyskiwania zgody umieść wyraźne wezwanie do działania, np. „Zgadzam się i łączę”. Użytkownicy muszą wiedzieć, jakie dane są wymagane do udostępnienia Google, aby połączyć konta.

4. Możliwość anulowania. Zapewnij użytkownikom możliwość powrotu lub anulowania, jeśli nie chcą połączyć kont.

5. Jasny proces logowania. Upewnij się, że użytkownicy mają jasną metodę logowania się na konto Google, np. pola na nazwę użytkownika i hasło lub przycisk Zaloguj się przez Google.

6. Możliwość odłączenia Udostępnij użytkownikom mechanizm odłączania, np. adres URL do ustawień konta na Twojej platformie. Możesz też dodać link do konta Google, na którym użytkownicy mogą zarządzać połączonym kontem.

7. Możliwość zmiany konta użytkownika. Zaproponuj użytkownikom metodę przełączania kont. Jest to szczególnie korzystne, jeśli użytkownicy mają zwykle kilka kont.

   • Jeśli użytkownik musi zamknąć ekran zgody, aby przełączyć konta, wyślij do Google błąd, który można naprawić, aby użytkownik mógł zalogować się na wybrane konto za pomocą połączenia protokołu OAuth i przepływu niejawnego.

8. Dodaj logo. wyświetlać logo firmy na ekranie zgody; Umieść logo zgodnie z wytycznymi dotyczącymi stylu. Jeśli chcesz lub musisz wyświetlać logo Google, zapoznaj się z sekcją Loga i znaki towarowe.

Rysunek 2. Wskazówki dotyczące projektowania ekranów logowania użytkownika w Google i ekranów zgody.

Tworzenie projektu

Uwaga: możesz ponownie użyć istniejącego projektu i nie musisz tworzyć nowego projektu tylko na potrzeby łączenia kont.

Aby utworzyć projekt do łączenia kont:

1. Otwórz konsolę interfejsów API Google.
2. Kliknij Utwórz projekt.
3. Wpisz nazwę lub zaakceptuj wygenerowaną sugestię.
4. Potwierdź lub edytuj pozostałe pola.
5. Kliknij Utwórz.

Aby wyświetlić identyfikator projektu:

1. Otwórz konsolę interfejsów API Google.
2. Znajdź swój projekt w tabeli na stronie docelowej. Identyfikator projektu jest wyświetlany w kolumnie Identyfikator.

Konfigurowanie ekranu zgody OAuth

Proces łączenia z kontem Google obejmuje ekran zgody, na którym użytkownicy mogą zobaczyć, która aplikacja prosi o dostęp do ich danych, jakich danych żąda i jakie warunki mają zastosowanie. Zanim wygenerujesz identyfikator klienta interfejsu API Google, musisz skonfigurować ekran zgody OAuth.

1. Otwórz stronę ekranu zgody OAuth w konsoli interfejsów API Google.
2. Jeśli pojawi się prośba, wybierz projekt, który właśnie utworzyłeś.

3. Na stronie „Ekran zgody OAuth” wypełnij formularz i kliknij przycisk „Zapisz”.

   Nazwa aplikacji: nazwa aplikacji, która prosi o akceptację. Nazwa powinna dokładnie odzwierciedlać Twoją aplikację i być zgodna z nazwą aplikacji, którą użytkownicy widzą w innych miejscach. Nazwa aplikacji będzie wyświetlana na ekranie zgody na łączenie kont.

   Logo aplikacji: obraz na ekranie zgody, który pomoże użytkownikom rozpoznać Twoją aplikację. Logo jest wyświetlane na ekranie zgody na łączenie kont i w ustawieniach konta.

   Adres e-mail pomocy: dla użytkowników, którzy chcą się z Tobą skontaktować w sprawie pytań o ich zgodę.

   Zakresy interfejsów API Google: zakresy umożliwiają aplikacji dostęp do prywatnych danych Google użytkownika. W przypadku łączenia z kontem Google wystarczy domyślny zakres (e-mail, profil, OpenID). Nie musisz dodawać żadnych zakresów wrażliwych. Zasadniczo najlepszym rozwiązaniem jest żądanie zakresów przyrostowo, w momencie, gdy wymagany jest dostęp, a nie z góry. Więcej informacji.

   Autoryzowane domeny: aby chronić Ciebie i Twoich użytkowników, Google pozwala na używanie autoryzowanych domen tylko aplikacjom, które uwierzytelniają się za pomocą protokołu OAuth. Linki do Twoich aplikacji muszą być hostowane w autoryzowanych domenach. Więcej informacji.

   Link do strony głównej aplikacji: strona główna Twojej aplikacji. Musi być hostowana w autoryzowanej domenie.

   Link do polityki prywatności aplikacji: Wyświetlany na ekranie zgody na łączenie kont Google. Musi być hostowana w autoryzowanej domenie.

   Link do Warunków korzystania z usługi (opcjonalnie): musi być hostowany w autoryzowanej domenie.

   

   Rysunek 1. Ekran zgody na łączenie z kontem Google w przypadku fikcyjnej aplikacji Tunery

4. Sprawdź „Stan weryfikacji”. Jeśli Twoja aplikacja wymaga weryfikacji, kliknij przycisk „Prześlij do weryfikacji”, aby przesłać aplikację do weryfikacji. Szczegółowe informacje znajdziesz w wymaganiach dotyczących weryfikacji OAuth.

Implementowanie serwera OAuth

n

危险：MCP、UCP 和代理驱动的流程不支持隐式流程。出于安全考虑，一般不建议所有新集成使用此方法。请改用授权代码流程。

为了支持 OAuth 2.0 隐式流程，您的服务通过 HTTPS 提供授权端点。此端点负责身份验证和征得用户同意以获取数据访问权限。授权端点会向尚未登录的用户显示登录界面，并记录用户对所请求访问权限的同意情况。

当 Google 应用需要调用您服务的某个已获授权的 API 时，Google 会使用此端点来征得用户同意，以便代表用户调用这些 API。

Google 账号关联：OAuth 隐式授权流程

以下序列图详细说明了用户、Google 和您服务的端点之间的互动。

图 1. Google 账号关联的 OAuth 2.0 隐式流程中的事件序列。

角色和职责

下表定义了 Google 账号关联 (GAL) OAuth 隐式流程中各个参与者的角色和职责。请注意，在 GAL 中，Google 充当 OAuth 客户端，而您的服务充当身份/服务提供方。

执行者 / 组件	GAL 角色	职责
Google 应用 / 服务器	OAuth 客户端	启动流程，使用浏览器重定向接收访问令牌，并安全地存储该令牌以访问服务的 API。
您的授权端点	授权服务器	对用户进行身份验证，征得用户同意，并直接向 Google 签发长期有效的访问令牌。
Google 重定向 URI	回调端点	从授权服务接收用户重定向，其中包含网址 fragment 中的 access_token 和 state 值。

由 Google 发起的典型 OAuth 2.0 隐式流程会话具有以下流程：

1. Google 会在用户的浏览器中打开您的授权端点。用户登录（如果尚未登录），并授予 Google 权限以通过您的 API 访问其数据（如果尚未授予权限）。
2. 您的服务会创建访问令牌并将其返回给 Google。为此，请将用户的浏览器重定向回 Google，并将访问令牌附加到请求中。
3. Google 会调用您服务的 API，并在每个请求中附加访问令牌。您的服务会验证该访问令牌是否授予了 Google 访问相应 API 的授权，然后完成 API 调用。

处理授权请求

当 Google 应用需要使用 OAuth 2.0 隐式流程执行账号关联时，Google 会将用户发送到您的授权端点，并发送包含以下参数的请求：

授权端点参数
client_id	您分配给 Google 的客户 ID。
redirect_uri	您将对此请求的响应发送到的网址。
state	一种簿记值，在重定向 URI 中原封不动地传递回 Google。
response_type	要在响应中返回的值的类型。对于 OAuth 2.0 隐式流程，响应类型始终为 token。
user_locale	Google 账号语言设置（采用 RFC5646 格式），用于以用户的首选语言本地化您的内容。

例如，如果您的授权端点位于 https://myservice.example.com/auth，则请求可能如下所示：

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token&user_locale=LOCALE

如需让授权端点处理登录请求，请执行以下步骤：

1. 验证 client_id 和 redirect_uri 值，以防止向意外或配置错误的客户端应用授予访问权限：

   • 确认 client_id 与您分配给 Google 的客户端 ID 相一致。
   • 确认 redirect_uri 参数指定的网址具有以下格式：

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
     https://oauth-redirect-sandbox.googleusercontent.com/r/YOUR_PROJECT_ID
     

2. 检查用户是否已登录您的服务。如果用户未登录，请完成服务的登录或注册流程。

3. 生成供 Google 用于访问您的 API 的访问令牌。访问令牌可以是任何字符串值，但必须唯一表示用户和令牌所针对的客户端，并且不得是可猜测的值。

4. 发送 HTTP 响应，将用户的浏览器重定向到 redirect_uri 参数指定的网址。在网址片段中包含以下所有参数：

   • access_token：您刚刚生成的访问令牌
   • token_type：字符串 bearer
   • state：原始请求中的未修改状态值

   以下是生成的网址示例：

   https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING

Google 的 OAuth 2.0 重定向处理程序会接收访问令牌，并确认 state 值未发生变化。在 Google 为您的服务获取访问令牌后，Google 会将该令牌附加到后续对您的服务 API 的调用中。

Obsługa żądań informacji o użytkowniku

Punkt końcowy informacji o użytkowniku jest chronionym przez OAuth 2.0 zasobem, który zwraca deklaracje dotyczące połączonego użytkownika. Wdrożenie i hosting punktu końcowego informacji o użytkowniku jest opcjonalne. Wyjątkiem są te przypadki użycia:

• Logowanie się na połączone konto za pomocą Google One Tap
• Bezproblemowa subskrypcja na AndroidTV.

Po pobraniu tokena dostępu z punktu końcowego tokena Google wysyła żądanie do punktu końcowego informacji o użytkowniku, aby pobrać podstawowe informacje profilowe połączonego użytkownika.

nagłówki żądań punktu końcowego informacji o użytkowniku
Authorization header	Token dostępu typu okaziciela.

Jeśli na przykład punkt końcowy informacji o użytkowniku jest dostępny pod adresem https://myservice.example.com/userinfo, żądanie może wyglądać tak:

GET /userinfo HTTP/1.1
Host: myservice.example.com
Authorization: Bearer ACCESS_TOKEN

Aby punkt końcowy informacji o użytkowniku mógł obsługiwać żądania, wykonaj te czynności:

1. Wyodrębnij token dostępu z nagłówka autoryzacji i zwróć informacje o użytkowniku powiązanym z tym tokenem.
2. Jeśli token dostępu jest nieprawidłowy, zwróć błąd HTTP 401 (Brak autoryzacji) i użyj nagłówka odpowiedzi WWW-Authenticate. Poniżej znajduje się przykładowa odpowiedź na pytanie o błąd w informacjach o użytkowniku:

   HTTP/1.1 401 Unauthorized
   WWW-Authenticate: error="invalid_token",
   error_description="The Access Token expired"
   

   Jeśli podczas procesu łączenia pojawi się błąd 401 (Brak autoryzacji) lub inna nieudana próba połączenia, błędu nie będzie można odzyskać, pobrany token zostanie odrzucony, a użytkownik będzie musiał ponownie zainicjować proces łączenia.

3. Jeśli token dostępu jest prawidłowy, zwróć odpowiedź HTTP 200 z podanym niżej obiektem JSON w treści HTTPS odpowiedź:

   {
   "sub": "USER_UUID",
   "email": "EMAIL_ADDRESS",
   "given_name": "FIRST_NAME",
   "family_name": "LAST_NAME",
   "name": "FULL_NAME",
   "picture": "PROFILE_PICTURE",
   }

   Jeśli punkt końcowy informacji o użytkowniku zwraca odpowiedź HTTP 200, pobrany token i żądania są rejestrowane dla konta Google użytkownika.

   odpowiedź dotycząca punktu końcowego informacji o użytkowniku
   sub	Unikalny identyfikator, który identyfikuje użytkownika w Twoim systemie.
   email	Adres e-mail użytkownika.
   given_name	Opcjonalnie: imię użytkownika.
   family_name	Opcjonalnie: nazwisko użytkownika.
   name	Opcjonalnie: pełna nazwa użytkownika.
   picture	Opcjonalnie: zdjęcie profilowe użytkownika.

Sprawdzanie poprawności implementacji

Implementację możesz zweryfikować za pomocą narzędzia OAuth 2.0 Playground.

W narzędziu wykonaj te czynności:

1. Kliknij Konfiguracja , aby otworzyć okno Konfiguracja OAuth 2.0.
2. W polu OAuth flow (Proces OAuth) wybierz Client-side (Po stronie klienta).
3. W polu Punkty końcowe OAuth wybierz Niestandardowe.
4. W odpowiednich polach podaj punkt końcowy OAuth 2.0 i identyfikator klienta przypisany do Google.
5. W sekcji Krok 1 nie wybieraj żadnych zakresów Google. Zamiast tego pozostaw to pole puste lub wpisz zakres ważny dla Twojego serwera (albo dowolny ciąg znaków, jeśli nie używasz zakresów OAuth). Gdy skończysz, kliknij Autoryzuj interfejsy API.
6. W sekcjach Krok 2 i Krok 3 przejdź przez przepływ OAuth 2.0 i sprawdź, czy każdy krok działa zgodnie z oczekiwaniami.

Możesz sprawdzić, czy implementacja jest prawidłowa, korzystając z narzędzia Google Account Linking Demo.

W narzędziu wykonaj te czynności:

1. Kliknij przycisk Zaloguj się przez Google.
2. Wybierz konto, które chcesz połączyć.
3. Wpisz identyfikator usługi.
4. Opcjonalnie wpisz co najmniej jeden zakres, do którego chcesz uzyskać dostęp.
5. Kliknij Uruchom wersję pokazową.
6. Gdy pojawi się komunikat, potwierdź, że możesz wyrazić zgodę na prośbę o połączenie lub ją odrzucić.
7. Sprawdź, czy nastąpiło przekierowanie na Twoją platformę.