使用 OAuth 和 Google 登入功能簡化連結程序

總覽

OAuth 式 Google 登入簡化連結會在 OAuth 連結之外新增 Google 登入。這不僅能為 Google 使用者提供流暢的連結體驗，還能啟用帳戶，讓使用者透過自己的 Google 帳戶建立新帳戶。

如要透過 OAuth 和 Google 登入功能連結帳戶，請按照下列一般步驟操作：

1. 首先，請要求使用者同意存取自己的 Google 個人資料。
2. 使用設定檔中的資訊，確認使用者帳戶是否存在。
3. 如果是現有使用者，請連結帳戶。
4. 如果您在驗證系統中找不到相符的 Google 使用者，請驗證 Google 收到的 ID 權杖。接著，您可以根據 ID 權杖中包含的設定檔資訊建立使用者。

圖 1. 使用者可透過簡化連結的方式在手機上連結自己的帳戶

簡化連結的相關規定

• 實作基本網站 OAuth 連結流程。您的服務必須支援符合 OAuth 2.0 規定的授權和憑證交換端點。
• 您的權杖交換端點必須支援 JSON Web Token (JWT) 宣告，並導入 check、create 和 get 意圖。

注意：這些意圖必須在您為基本網路 OAuth 連結流程建立的同一個權杖交換端點中導入。請勿建立其他端點來處理這些意圖。

• 註冊 Google API 用戶端 ID。

實作 OAuth 伺服器

您的權杖交換端點必須支援 check、create、get 意圖。下圖顯示透過帳戶連結流程完成的步驟，並指出呼叫不同意圖的時機：

1. 使用者在驗證系統中是否有帳戶？(使用者選取「是」或「否」即可決定)
   1. 是：使用者是否透過與 Google 帳戶相關聯的電子郵件地址登入平台？(使用者選取「是」或「否」即可決定)
      1. 是：使用者在驗證系統中是否有相符的帳戶？(系統會呼叫 check intent 進行確認)
         1. 是：系統會呼叫 get intent，如果成功擷取意圖，系統就會連結帳戶。
         2. 否：建立新帳戶？(使用者選取「是」或「否」即可決定)
            1. 是：系統會呼叫 create intent，並在建立意圖傳回成功時連結帳戶。
            2. 否：系統會觸發網路 OAuth 流程、將使用者導向瀏覽器，且使用者可選擇連結其他電子郵件地址。
      2. 否：系統會觸發網路 OAuth 流程，系統會將使用者導向使用者瀏覽器，並讓使用者選擇連結其他電子郵件。
   2. 否：使用者在驗證系統中是否有相符的帳戶？(系統會呼叫 check intent 進行確認)
      1. 是：系統會呼叫 get intent，如果成功擷取意圖，系統就會連結帳戶。
      2. 否：系統會呼叫 create intent，並在建立意圖傳回成功時連結帳戶。

检查现有用户帐号（检查 intent）

在用户同意访问其 Google 个人资料后，Google 会发送一个请求，其中包含 Google 用户身份的签名断言。该断言包含用户的 Google 帐号 ID、姓名和电子邮件地址。为您的项目配置的令牌交换端点会处理该请求。

如果您的身份验证系统中已存在相应的 Google 帐号，则您的令牌交换端点会返回 account_found=true。如果 Google 帐号与现有用户不匹配，那么您的令牌交换端点会返回 account_found=false 的 HTTP 404 Not Found 错误。

请求的格式如下：

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=check&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

您的令牌交换端点必须能够处理以下参数：

令牌端点参数
intent	对于这些请求，此参数的值为 check。
grant_type	要交换的令牌的类型。对于这些请求，此参数的值为 urn:ietf:params:oauth:grant-type:jwt-bearer。
assertion	一个 JSON Web 令牌 (JWT)，用于提供 Google 用户身份的签名断言。JWT 包含用户的 Google 帐号 ID、姓名和电子邮件地址等信息。
client_id	您分配给 Google 的客户端 ID。
client_secret	您分配给 Google 的客户端密钥。

为了响应 check intent 请求，您的令牌交换端点必须执行以下步骤：

• 验证并解码 JWT 断言。
• 检查您的身份验证系统中是否已存在该 Google 帐号。

驗證並解碼 JWT 斷言

您可以使用 適用於您語言的 JWT 解碼程式庫。使用 Google 的公開金鑰，位於 JWK 或 使用 PEM 格式進行驗證 憑證的簽章

解碼後的 JWT 斷言會如下所示：

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "[e-mail]", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

除了驗證權杖的簽章外，也請驗證斷言 核發者 (iss 欄位) 為 https://accounts.google.com，目標對象為 (aud 欄位) 是您指派的用戶端 ID，且權杖尚未過期 (exp 欄位)。

您可以使用 email、email_verified 和 hd 欄位判斷 Google 代管且具公信力的電子郵件地址。如果 Google 權威使用者目前是合法帳戶擁有者 可以略過密碼或其他驗證方式此外，這些方法 可用於驗證帳戶再建立連結。

Google 具有公信力的案例：

• email 的尾碼是 @gmail.com，這是 Gmail 帳戶。
• 「email_verified」為 true，且已設定「hd」，代表這是 G Suite 帳戶。

使用者註冊 Google 帳戶時，不必使用 Gmail 或 G Suite。時間 email 未包含 @gmail.com 後置字串，且 hd 不是 Google 建議使用權威性密碼、密碼或其他驗證方法 使用者。email_verified 也可能是 true，因為 Google 一開始就驗證過 使用者就是 Google 帳戶建立時的使用者，但第三方的擁有權 電子郵件帳戶可能會有所變更。

检查您的身份验证系统中是否已存在该 Google 帐号

检查是否满足以下任一条件：

• Google 帐号 ID 可在用户的数据库中找到，可在断言的 sub 字段找到。
• 断言中的电子邮件地址与您的用户数据库中的用户匹配。

如果其中任一条件为 true，则表示用户已注册。在这种情况下，系统将返回如下所示的响应：

HTTP/1.1 200 Success
Content-Type: application/json;charset=UTF-8

{
  "account_found":"true",
}

如果断言中指定的 Google 帐号 ID 和电子邮件地址都与用户数据库中的用户不匹配，则表示用户尚未注册。在这种情况下，您的令牌交换端点需要使用包含 "account_found": "false" 的 HTTP 404 错误进行响应，如以下示例所示：

HTTP/1.1 404 Not found
Content-Type: application/json;charset=UTF-8

{
  "account_found":"false",
}

处理自动链接（获取 intent）

在用户同意访问其 Google 个人资料后，Google 会发送一个请求，其中包含 Google 用户身份的签名断言。该断言包含用户的 Google 帐号 ID、姓名和电子邮件地址。为您的项目配置的令牌交换端点会处理该请求。

如果您的身份验证系统中已存在相应的 Google 帐号，则您的令牌交换端点会返回用户的令牌。如果 Google 帐号与现有用户不匹配，您的令牌交换端点会返回 linking_error 错误和可选的 login_hint。

请求的格式如下：

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=get&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

您的令牌交换端点必须能够处理以下参数：

令牌端点参数
intent	对于这些请求，此参数的值为 get。
grant_type	要交换的令牌的类型。对于这些请求，此参数的值为 urn:ietf:params:oauth:grant-type:jwt-bearer。
assertion	一个 JSON Web 令牌 (JWT)，用于提供 Google 用户身份的签名断言。JWT 包含用户的 Google 帐号 ID、姓名和电子邮件地址等信息。
scope	可选：您已将 Google 配置为向用户请求的任何范围。
client_id	您分配给 Google 的客户端 ID。
client_secret	您分配给 Google 的客户端密钥。

为了响应 get intent 请求，您的令牌交换端点必须执行以下步骤：

• 验证并解码 JWT 断言。
• 检查您的身份验证系统中是否已存在该 Google 帐号。

驗證並解碼 JWT 斷言

您可以使用 適用於您語言的 JWT 解碼程式庫。使用 Google 的公開金鑰，位於 JWK 或 使用 PEM 格式進行驗證 憑證的簽章

解碼後的 JWT 斷言會如下所示：

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "[e-mail]", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

除了驗證權杖的簽章外，也請驗證斷言 核發者 (iss 欄位) 為 https://accounts.google.com，目標對象為 (aud 欄位) 是您指派的用戶端 ID，且權杖尚未過期 (exp 欄位)。

您可以使用 email、email_verified 和 hd 欄位判斷 Google 代管且具公信力的電子郵件地址。如果 Google 權威使用者目前是合法帳戶擁有者 可以略過密碼或其他驗證方式此外，這些方法 可用於驗證帳戶再建立連結。

Google 具有公信力的案例：

• email 的尾碼是 @gmail.com，這是 Gmail 帳戶。
• 「email_verified」為 true，且已設定「hd」，代表這是 G Suite 帳戶。

使用者註冊 Google 帳戶時，不必使用 Gmail 或 G Suite。時間 email 未包含 @gmail.com 後置字串，且 hd 不是 Google 建議使用權威性密碼、密碼或其他驗證方法 使用者。email_verified 也可能是 true，因為 Google 一開始就驗證過 使用者就是 Google 帳戶建立時的使用者，但第三方的擁有權 電子郵件帳戶可能會有所變更。

检查您的身份验证系统中是否已存在该 Google 帐号

检查是否满足以下任一条件：

• Google 帐号 ID 可在用户的数据库中找到，可在断言的 sub 字段找到。
• 断言中的电子邮件地址与您的用户数据库中的用户匹配。

如果找到了用户的帐号，请发出访问令牌，并在 HTTPS 响应的正文中以 JSON 对象形式返回值，如以下示例所示：

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",

  "expires_in": SECONDS_TO_EXPIRATION
}

在某些情况下，基于 ID 令牌的帐号关联可能会为用户失败。如果出现任何此类情况，您的令牌交换端点都需要使用返回 error=linking_error 的 HTTP 401 错误进行响应，如以下示例所示：

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"[e-mail]"
}

Google 收到包含 linking_error 的 401 错误响应后，会将用户作为授权参数 login_hint 发送到您的授权端点。用户在浏览器中使用 OAuth 关联流程完成帐号关联。

通过 Google 登录功能创建帐号（创建 intent）

当用户需要在您的服务上创建帐号时，Google 会向您的令牌交换端点发出请求，并指定 intent=create。

请求的格式如下：

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

response_type=token&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&scope=SCOPES&intent=create&assertion=JWT&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

您的令牌交换端点必须能够处理以下参数：

令牌端点参数
intent	对于这些请求，此参数的值为 create。
grant_type	要交换的令牌的类型。对于这些请求，此参数的值为 urn:ietf:params:oauth:grant-type:jwt-bearer。
assertion	一个 JSON Web 令牌 (JWT)，用于提供 Google 用户身份的签名断言。JWT 包含用户的 Google 帐号 ID、姓名和电子邮件地址等信息。
client_id	您分配给 Google 的客户端 ID。
client_secret	您分配给 Google 的客户端密钥。

assertion 参数中的 JWT 包含用户的 Google 帐号 ID、名称和电子邮件地址，您可以使用这些信息在服务中创建新帐号。

为了响应 create intent 请求，您的令牌交换端点必须执行以下步骤：

• 验证并解码 JWT 断言。
• 验证用户信息并创建新帐号。

驗證並解碼 JWT 斷言

您可以使用 適用於您語言的 JWT 解碼程式庫。使用 Google 的公開金鑰，位於 JWK 或 使用 PEM 格式進行驗證 憑證的簽章

解碼後的 JWT 斷言會如下所示：

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "[e-mail]", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

除了驗證權杖的簽章外，也請驗證斷言 核發者 (iss 欄位) 為 https://accounts.google.com，目標對象為 (aud 欄位) 是您指派的用戶端 ID，且權杖尚未過期 (exp 欄位)。

您可以使用 email、email_verified 和 hd 欄位判斷 Google 代管且具公信力的電子郵件地址。如果 Google 權威使用者目前是合法帳戶擁有者 可以略過密碼或其他驗證方式此外，這些方法 可用於驗證帳戶再建立連結。

Google 具有公信力的案例：

• email 的尾碼是 @gmail.com，這是 Gmail 帳戶。
• 「email_verified」為 true，且已設定「hd」，代表這是 G Suite 帳戶。

使用者註冊 Google 帳戶時，不必使用 Gmail 或 G Suite。時間 email 未包含 @gmail.com 後置字串，且 hd 不是 Google 建議使用權威性密碼、密碼或其他驗證方法 使用者。email_verified 也可能是 true，因為 Google 一開始就驗證過 使用者就是 Google 帳戶建立時的使用者，但第三方的擁有權 電子郵件帳戶可能會有所變更。

验证用户信息并创建新帐号

检查是否满足以下任一条件：

• Google 帐号 ID 可在用户的数据库中找到，可在断言的 sub 字段找到。
• 断言中的电子邮件地址与您的用户数据库中的用户匹配。

如果任一条件为 true，请提示用户将其现有帐号与其 Google 帐号相关联。为此，请对请求进行响应，并提供指定 error=linking_error 并将用户的电子邮件地址作为 login_hint 的 HTTP 401 错误。以下是一个示例响应：

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"[e-mail]"
}

Google 收到包含 linking_error 的 401 错误响应后，会将用户作为授权参数 login_hint 发送到您的授权端点。用户在浏览器中使用 OAuth 关联流程完成帐号关联。

如果两个条件都不满足，请使用 JWT 中提供的信息创建新的用户帐号。新帐号通常不会设置密码。建议您将 Google 登录功能添加到其他平台，以便用户能够在应用界面使用 Google 帐号登录。或者，您也可以通过电子邮件向用户发送一个启动密码恢复流程的链接，以便用户设置密码以在其他平台上登录。

创建完成后，发出访问令牌 ，并在 HTTPS 响应的正文中以 JSON 对象形式返回值，如以下示例所示：

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",

  "expires_in": SECONDS_TO_EXPIRATION
}

取得 Google API 用戶端 ID

在帳戶連結註冊程序過程中，您必須提供 Google API 用戶端 ID。

如要取得在完成 OAuth 連結步驟中建立的專案，取得 API 用戶端 ID。如要這樣做，請完成下列步驟：

1. 開啟 Google API 控制台的「憑證」頁面。

2. 建立或選取 Google API 專案。

   如果專案沒有網頁應用程式類型的用戶端 ID，請按一下 [建立憑證 > OAuth 用戶端 ID] 來建立。請務必在「Authorized JavaScript origins」(已授權的 JavaScript 來源) 方塊中加入您的網站網域。執行本機測試或開發作業時，必須將「http://localhost」和「http://localhost:<port_number>」新增至「Authorized JavaScript origins」(已獲授權的 JavaScript 來源) 欄位。

   重點提示：在「Authorized JavaScript origins」(已授權的 JavaScript 來源) 欄位中新增 http://localhost 和 http://localhost:<port_number>，以進行本機測試或開發。

   注意：用戶端 ID 範例如下：

   1234567890-abc123def456.apps.googleusercontent.com
   

驗證實作

您可以通過使用驗證實現的OAuth 2.0遊樂場工具。

在工具中，執行以下步驟：

1. 單擊配置打開的OAuth 2.0配置窗口。
2. 在OAuth流場中，選擇客戶端。
3. 在OAuth端點字段中，選擇自定義。
4. 在相應字段中指定您的 OAuth 2.0 端點和您分配給 Google 的客戶端 ID。
5. 在步驟1部分，不要選擇任何谷歌範圍。相反，將此字段留空或鍵入對您的服務器有效的範圍（如果不使用 OAuth 範圍，則輸入任意字符串）。當您完成後，單擊授權的API。
6. 在步驟2和步驟3段，完成OAuth 2.0流程和驗證每個步驟按預期工作。

您可以通過驗證您的實現谷歌帳戶鏈接演示工具。

在工具中，執行以下步驟：

1. 點擊登錄在與谷歌按鈕。
2. 選擇您要關聯的帳戶。
3. 輸入服務標識。
4. （可選）輸入您將請求訪問的一個或多個範圍。
5. 單擊開始演示。
6. 出現提示時，確認您可以同意並拒絕鏈接請求。
7. 確認您被重定向到您的平台。