Übersicht
Optimierte Verknüpfung mit OAuth-basiertem Google Log-in: Google Log-in ergänzt OAuth-Verknüpfung. Dies ermöglicht eine nahtlose Verknüpfung von .
Um Kontoverknüpfungen mit OAuth und Google Log-in durchzuführen, folge diesen allgemeinen Schritte:
- Bitten Sie den Nutzer zuerst, seine Einwilligung für den Zugriff auf sein Google-Profil zu geben.
- Anhand der Informationen in ihrem Profil können Sie prüfen, ob das Nutzerkonto vorhanden ist.
- Verknüpfen Sie die Konten für bestehende Nutzer.
- Wenn Sie in Ihrem Authentifizierungssystem keine Übereinstimmung für den Google-Nutzer finden können, Validieren Sie das von Google erhaltene ID-Token. Sie können dann ein nutzerbasiertes zu den Profilinformationen im ID-Token.
Abbildung 1. Kontoverknüpfung auf dem Smartphone eines Nutzers mit der optimierten Verknüpfung
Anforderungen für optimierte Verknüpfungen
- Implementiere den einfachen OAuth-Verknüpfungsvorgang für das Web. Ihr Dienst muss OAuth 2.0-konform unterstützen Endpunkte Autorisierung und Tokenaustausch.
- Ihr Endpunkt für den Tokenaustausch muss JSON Web Token (JWT)-Assertions unterstützen und die Intents
check
,create
undget
implementieren.
OAuth-Server implementieren
Der Endpunkt des Tokenaustauschs muss die Intents check
, create
und get
unterstützen. Unten sehen Sie die Schritte, die während der Kontoverknüpfung ausgeführt werden, und es wird angegeben, wann die verschiedenen Intents aufgerufen werden:
- Hat der Nutzer ein Konto in Ihrem Authentifizierungssystem? (Der Nutzer entscheidet sich mit Ja oder NEIN.)
<ph type="x-smartling-placeholder">
- </ph>
- JA : Nutzt der Nutzer die E-Mail-Adresse, die mit seinem Google-Konto verknüpft ist, um sich auf Ihrer Plattform anzumelden? (Der Nutzer entscheidet sich mit Ja oder NEIN.)
<ph type="x-smartling-placeholder">
- </ph>
- JA : Verfügt der Nutzer über ein übereinstimmendes Konto in Ihrem Authentifizierungssystem? (
check intent
wird zur Bestätigung aufgerufen) <ph type="x-smartling-placeholder">- </ph>
- JA :
get intent
wird aufgerufen und das Konto wird verknüpft, wenn der get-Intent erfolgreich zurückgegeben wird. - NEIN : Neues Konto erstellen? (Der Nutzer entscheidet sich mit Ja oder NEIN.)
<ph type="x-smartling-placeholder">
- </ph>
- JA :
create intent
wird aufgerufen und das Konto verknüpft, wenn der Erstellungs-Intent erfolgreich zurückgegeben wird. - NEIN : Der Web-OAuth-Ablauf wird ausgelöst, der Nutzer wird zu seinem Browser weitergeleitet und erhält die Möglichkeit, eine Verknüpfung mit einer anderen E-Mail-Adresse herzustellen.
- JA :
- JA :
- NEIN : Der Web-OAuth-Vorgang wird ausgelöst, der Nutzer wird zu seinem Browser weitergeleitet und hat die Möglichkeit, eine Verknüpfung mit einer anderen E-Mail-Adresse herzustellen.
- JA : Verfügt der Nutzer über ein übereinstimmendes Konto in Ihrem Authentifizierungssystem? (
- NEIN : Verfügt der Nutzer über ein übereinstimmendes Konto in Ihrem Authentifizierungssystem? (
check intent
wird zur Bestätigung aufgerufen) <ph type="x-smartling-placeholder">- </ph>
- JA :
get intent
wird aufgerufen und das Konto wird verknüpft, wenn der get-Intent erfolgreich zurückgegeben wird. - NEIN :
create intent
wird aufgerufen und das Konto verknüpft, wenn die Rückgabe des Intents zum Erstellen erfolgreich ist.
- JA :
- JA : Nutzt der Nutzer die E-Mail-Adresse, die mit seinem Google-Konto verknüpft ist, um sich auf Ihrer Plattform anzumelden? (Der Nutzer entscheidet sich mit Ja oder NEIN.)
<ph type="x-smartling-placeholder">
检查现有用户账号(检查 intent)
在用户同意访问其 Google 个人资料后,Google 会发送 请求,其中包含 Google 用户身份的已签名断言。通过 断言包含的信息包括用户的 Google 账号 ID、 姓名和电子邮件地址为您的 Google Cloud 控制台配置的令牌交换端点 项目处理该请求。
如果您的身份验证中已有相应的 Google 账号
系统时,您的令牌交换端点会返回 account_found=true
。如果
Google 账号与现有用户不匹配,您的令牌交换端点
返回“HTTP 404 Not Found”错误以及 account_found=false
。
请求的格式如下:
POST /token HTTP/1.1 Host: oauth2.example.com Content-Type: application/x-www-form-urlencoded grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=check&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET
您的令牌交换端点必须能够处理以下参数:
令牌端点参数 | |
---|---|
intent |
对于这些请求,此参数的值为
check 。 |
grant_type |
所交换的令牌的类型。对于这类请求
参数的值为 urn:ietf:params:oauth:grant-type:jwt-bearer 。 |
assertion |
一个 JSON Web 令牌 (JWT),提供 Google 用户身份。JWT 包含的信息包括用户 Google 账号 ID、姓名和电子邮件地址。 |
client_id |
您分配给 Google 的客户 ID。 |
client_secret |
您分配给 Google 的客户端密钥。 |
如需响应 check
intent 请求,您的令牌交换端点必须执行以下步骤:
- 验证和解码 JWT 断言。
- 检查您的身份验证系统中是否已存在该 Google 账号。
JWT-Assertion validieren und decodieren
Sie können die JWT-Assertion mit einem JWT-Decodierungsbibliothek für Ihre Sprache. Verwenden Sie Die öffentlichen Schlüssel von Google, verfügbar in JWK oder PEM-Formate, zur Überprüfung die Signatur des Tokens.
Nach der Decodierung sieht die JWT-Assertion so aus:
{ "sub": "1234567890", // The unique ID of the user's Google Account "iss": "https://accounts.google.com", // The assertion's issuer "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID "iat": 233366400, // Unix timestamp of the assertion's creation time "exp": 233370000, // Unix timestamp of the assertion's expiration time "name": "Jan Jansen", "given_name": "Jan", "family_name": "Jansen", "email": "jan@gmail.com", // If present, the user's email address "email_verified": true, // true, if Google has verified the email address "hd": "example.com", // If present, the host domain of the user's GSuite email address // If present, a URL to user's profile picture "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ", "locale": "en_US" // User's locale, from browser or phone settings }
Neben der Verifizierung der Tokensignatur müssen Sie auch prüfen, ob die
Aussteller (Feld iss
) ist https://accounts.google.com
, die Zielgruppe
(Feld aud
) enthält Ihre zugewiesene Client-ID und das Token, das nicht abgelaufen ist.
(Feld exp
).
Mit den Feldern email
, email_verified
und hd
können Sie festlegen,
Google hostet eine E-Mail-Adresse und ist für sie maßgeblich. In Fällen, in denen Google
autoritativer Nutzer, der derzeit als rechtmäßiger Kontoinhaber bekannt ist
und Sie können das Passwort oder andere Methoden zur Identitätsbestätigung überspringen. Andernfalls werden diese Methoden
kann vor der Verknüpfung zur Bestätigung des Kontos verwendet werden.
Fälle, in denen Google als vertrauenswürdig eingestuft wird:
email
hat das Suffix@gmail.com
. Dies ist ein Gmail-Konto.email_verified
ist „true“ undhd
ist festgelegt. Dies ist ein G Suite-Konto.
Nutzer können sich für ein Google-Konto registrieren, ohne Gmail oder die G Suite zu verwenden. Wann?
email
enthält kein @gmail.com
-Suffix und hd
fehlt. Google ist kein
werden zur Bestätigung der Identität empfohlen,
Nutzenden. email_verified
kann auch „true“ sein, da Google das
Nutzer beim Erstellen des Google-Kontos, aber die Inhaberschaft des Drittanbieters
Ihr E-Mail-Konto hat sich in der Zwischenzeit möglicherweise geändert.
检查您的身份验证系统中是否已存在该 Google 账号
请检查以下任一条件是否成立:
- Google 账号 ID(可在断言的
sub
字段中找到)位于您的用户中 数据库。 - 断言中的电子邮件地址与用户数据库中的用户匹配。
如果满足上述任一条件,则表明用户已注册。在这种情况下 返回如下所示的响应:
HTTP/1.1 200 Success Content-Type: application/json;charset=UTF-8 { "account_found":"true", }
如果 Google 账号 ID 和
断言与您的数据库中的用户匹配,该用户尚未注册。在
在这种情况下,您的令牌交换端点需要返回 HTTP 404 错误
指定 "account_found": "false"
,如以下示例所示:
HTTP/1.1 404 Not found Content-Type: application/json;charset=UTF-8 { "account_found":"false", }
处理自动链接(获取 intent)
在用户同意访问其 Google 个人资料后,Google 会发送 请求,其中包含 Google 用户身份的已签名断言。通过 断言包含的信息包括用户的 Google 账号 ID、 姓名和电子邮件地址为您的 Google Cloud 控制台配置的令牌交换端点 项目处理该请求。
如果您的身份验证中已有相应的 Google 账号
系统,您的令牌交换端点将为用户返回一个令牌。如果
Google 账号与现有用户不匹配,您的令牌交换端点
返回 linking_error
错误和可选的 login_hint
。
请求的格式如下:
POST /token HTTP/1.1 Host: oauth2.example.com Content-Type: application/x-www-form-urlencoded grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=get&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET
您的令牌交换端点必须能够处理以下参数:
令牌端点参数 | |
---|---|
intent |
对于这些请求,此参数的值为 get 。 |
grant_type |
所交换的令牌的类型。对于这类请求
参数的值为 urn:ietf:params:oauth:grant-type:jwt-bearer 。 |
assertion |
一个 JSON Web 令牌 (JWT),提供 Google 用户身份。JWT 包含的信息包括用户 Google 账号 ID、姓名和电子邮件地址。 |
scope |
可选:您已将 Google 配置为向其请求访问权限的任何范围 用户。 |
client_id |
您分配给 Google 的客户 ID。 |
client_secret |
您分配给 Google 的客户端密钥。 |
如需响应 get
intent 请求,您的令牌交换端点必须执行以下步骤:
- 验证和解码 JWT 断言。
- 检查您的身份验证系统中是否已存在该 Google 账号。
JWT-Assertion validieren und decodieren
Sie können die JWT-Assertion mit einem JWT-Decodierungsbibliothek für Ihre Sprache. Verwenden Sie Die öffentlichen Schlüssel von Google, verfügbar in JWK oder PEM-Formate, zur Überprüfung die Signatur des Tokens.
Nach der Decodierung sieht die JWT-Assertion so aus:
{ "sub": "1234567890", // The unique ID of the user's Google Account "iss": "https://accounts.google.com", // The assertion's issuer "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID "iat": 233366400, // Unix timestamp of the assertion's creation time "exp": 233370000, // Unix timestamp of the assertion's expiration time "name": "Jan Jansen", "given_name": "Jan", "family_name": "Jansen", "email": "jan@gmail.com", // If present, the user's email address "email_verified": true, // true, if Google has verified the email address "hd": "example.com", // If present, the host domain of the user's GSuite email address // If present, a URL to user's profile picture "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ", "locale": "en_US" // User's locale, from browser or phone settings }
Neben der Verifizierung der Tokensignatur müssen Sie auch prüfen, ob die
Aussteller (Feld iss
) ist https://accounts.google.com
, die Zielgruppe
(Feld aud
) enthält Ihre zugewiesene Client-ID und das Token, das nicht abgelaufen ist.
(Feld exp
).
Mit den Feldern email
, email_verified
und hd
können Sie festlegen,
Google hostet eine E-Mail-Adresse und ist für sie maßgeblich. In Fällen, in denen Google
autoritativer Nutzer, der derzeit als rechtmäßiger Kontoinhaber bekannt ist
und Sie können das Passwort oder andere Methoden zur Identitätsbestätigung überspringen. Andernfalls werden diese Methoden
kann vor der Verknüpfung zur Bestätigung des Kontos verwendet werden.
Fälle, in denen Google als vertrauenswürdig eingestuft wird:
email
hat das Suffix@gmail.com
. Dies ist ein Gmail-Konto.email_verified
ist „true“ undhd
ist festgelegt. Dies ist ein G Suite-Konto.
Nutzer können sich für ein Google-Konto registrieren, ohne Gmail oder die G Suite zu verwenden. Wann?
email
enthält kein @gmail.com
-Suffix und hd
fehlt. Google ist kein
werden zur Bestätigung der Identität empfohlen,
Nutzenden. email_verified
kann auch „true“ sein, da Google das
Nutzer beim Erstellen des Google-Kontos, aber die Inhaberschaft des Drittanbieters
Ihr E-Mail-Konto hat sich in der Zwischenzeit möglicherweise geändert.
检查您的身份验证系统中是否已存在该 Google 账号
请检查以下任一条件是否成立:
- Google 账号 ID(可在断言的
sub
字段中找到)位于您的用户中 数据库。 - 断言中的电子邮件地址与用户数据库中的用户匹配。
如果找到了用户的账号,请发出访问令牌,并在 HTTPS 响应正文的 JSON 对象中返回相应值,如以下示例所示:
{ "token_type": "Bearer", "access_token": "ACCESS_TOKEN", "refresh_token": "REFRESH_TOKEN", "expires_in": SECONDS_TO_EXPIRATION }
在某些情况下,基于 ID 令牌的账号关联可能会失败。如果
因为任何原因,您的令牌交换端点都需要以 HTTP 响应
指定 error=linking_error
的 401 错误,如以下示例所示:
HTTP/1.1 401 Unauthorized Content-Type: application/json;charset=UTF-8 { "error":"linking_error", "login_hint":"foo@bar.com" }
当 Google 收到包含 linking_error
的 401 错误响应时,会发送
使用 login_hint
作为参数将用户发送到您的授权端点。通过
用户在浏览器中使用 OAuth 关联流程完成账号关联。
Kontoerstellung über Google Log-in durchführen (Create-Intent)
Wenn ein Nutzer ein Konto bei Ihrem Dienst erstellen muss, stellt Google eine Anfrage
zu Ihrem Tokenaustausch-Endpunkt, der intent=create
angibt.
Die Anfrage hat das folgende Format:
POST /token HTTP/1.1 Host: oauth2.example.com Content-Type: application/x-www-form-urlencoded response_type=token&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&scope=SCOPES&intent=create&assertion=JWT&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET
Der Endpunkt des Tokenaustauschs muss die folgenden Parameter verarbeiten können:
Parameter für Tokenendpunkt | |
---|---|
intent |
Bei diesen Anfragen lautet der Wert des Parameters create . |
grant_type |
Der Tokentyp, der ausgetauscht wird. Bei diesen Anfragen
den Wert urn:ietf:params:oauth:grant-type:jwt-bearer hat. |
assertion |
Ein JSON Web Token (JWT), das eine signierte Assertion der Google der Identität des Nutzers. Das JWT enthält Informationen wie die ID, Name und E-Mail-Adresse des Google-Kontos |
client_id |
Die Client-ID, die Sie Google zugewiesen haben. |
client_secret |
Der Clientschlüssel, den Sie Google zugewiesen haben. |
Das JWT im Parameter assertion
enthält die Google-Konto-ID des Nutzers,
und die E-Mail-Adresse, mit der Sie ein neues Konto auf Ihrem
.
Ihr Endpunkt für den Tokenaustausch muss die folgenden Schritte ausführen, um auf die Intent-Anfragen create
zu antworten:
- Validieren und decodieren Sie die JWT-Assertion.
- Validieren Sie die Nutzerinformationen und erstellen Sie ein neues Konto.
JWT-Assertion validieren und decodieren
Sie können die JWT-Assertion mit einem JWT-Decodierungsbibliothek für Ihre Sprache. Verwenden Sie Die öffentlichen Schlüssel von Google, verfügbar in JWK oder PEM-Formate, zur Überprüfung die Signatur des Tokens.
Nach der Decodierung sieht die JWT-Assertion so aus:
{ "sub": "1234567890", // The unique ID of the user's Google Account "iss": "https://accounts.google.com", // The assertion's issuer "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID "iat": 233366400, // Unix timestamp of the assertion's creation time "exp": 233370000, // Unix timestamp of the assertion's expiration time "name": "Jan Jansen", "given_name": "Jan", "family_name": "Jansen", "email": "jan@gmail.com", // If present, the user's email address "email_verified": true, // true, if Google has verified the email address "hd": "example.com", // If present, the host domain of the user's GSuite email address // If present, a URL to user's profile picture "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ", "locale": "en_US" // User's locale, from browser or phone settings }
Neben der Verifizierung der Tokensignatur müssen Sie auch prüfen, ob die
Aussteller (Feld iss
) ist https://accounts.google.com
, die Zielgruppe
(Feld aud
) enthält Ihre zugewiesene Client-ID und das Token, das nicht abgelaufen ist.
(Feld exp
).
Mit den Feldern email
, email_verified
und hd
können Sie festlegen,
Google hostet eine E-Mail-Adresse und ist für sie maßgeblich. In Fällen, in denen Google
autoritativer Nutzer, der derzeit als rechtmäßiger Kontoinhaber bekannt ist
und Sie können das Passwort oder andere Methoden zur Identitätsbestätigung überspringen. Andernfalls werden diese Methoden
kann vor der Verknüpfung zur Bestätigung des Kontos verwendet werden.
Fälle, in denen Google als vertrauenswürdig eingestuft wird:
email
hat das Suffix@gmail.com
. Dies ist ein Gmail-Konto.email_verified
ist „true“ undhd
ist festgelegt. Dies ist ein G Suite-Konto.
Nutzer können sich für ein Google-Konto registrieren, ohne Gmail oder die G Suite zu verwenden. Wann?
email
enthält kein @gmail.com
-Suffix und hd
fehlt. Google ist kein
werden zur Bestätigung der Identität empfohlen,
Nutzenden. email_verified
kann auch „true“ sein, da Google das
Nutzer beim Erstellen des Google-Kontos, aber die Inhaberschaft des Drittanbieters
Ihr E-Mail-Konto hat sich in der Zwischenzeit möglicherweise geändert.
Nutzerinformationen validieren und neues Konto erstellen
Prüfen Sie, ob eine der folgenden Bedingungen erfüllt ist:
- Die Google-Konto-ID, die Sie im Feld
sub
der Assertion finden, gehört Ihrem Nutzer Datenbank. - Die E-Mail-Adresse in der Assertion stimmt mit einem Nutzer in Ihrer Nutzerdatenbank überein.
Wenn eine der Bedingungen zutrifft, fordern Sie den Nutzer auf, sein vorhandenes Konto zu verknüpfen.
mit ihrem Google-Konto. Antworten Sie dazu mit einem HTTP 401-Fehler auf die Anfrage.
der error=linking_error
angibt und die E-Mail-Adresse des Nutzers als
login_hint
. Hier ist eine Beispielantwort:
HTTP/1.1 401 Unauthorized Content-Type: application/json;charset=UTF-8 { "error":"linking_error", "login_hint":"foo@bar.com" }
Wenn Google eine 401-Fehlerantwort mit linking_error
erhält, sendet Google
den Nutzer zu Ihrem Autorisierungsendpunkt mit login_hint
als Parameter. Die
Der Nutzer schließt die Kontoverknüpfung mithilfe des OAuth-Verknüpfungsvorgangs in seinem Browser ab.
Wenn keine der beiden Bedingungen zutrifft, erstellen Sie ein neues Nutzerkonto mit den entsprechenden Informationen. die im JWT bereitgestellt werden. Für neue Konten wird normalerweise kein Passwort festgelegt. Es ist empfohlen, Google Log-in auf anderen Plattformen hinzuzufügen, damit Nutzer in allen Oberflächen Ihrer App bei Google anmelden. Alternativ können Sie kann dem Nutzer per E-Mail einen Link senden, mit dem die Passwortwiederherstellung gestartet wird. , um ein Passwort für die Anmeldung auf anderen Plattformen festzulegen.
Wenn die Erstellung abgeschlossen ist, geben Sie ein Zugriffstoken aus und aktualisieren Sie das Token und geben die Werte in einem JSON-Objekt in den Text Ihrer HTTPS-Antwort ein, wie im folgenden Beispiel:
{ "token_type": "Bearer", "access_token": "ACCESS_TOKEN", "refresh_token": "REFRESH_TOKEN", "expires_in": SECONDS_TO_EXPIRATION }
Google API-Client-ID abrufen
Sie müssen Ihre Google API-Client-ID bei der Registrierung der Kontoverknüpfung angeben.
API-Client-ID über das Projekt abrufen, das Sie bei der OAuth-Verknüpfung erstellt haben Führen Sie dazu folgende Schritte aus:
- Öffnen Sie die Seite Anmeldedaten des Google API Console:
Erstellen Sie ein Google APIs-Projekt oder wählen Sie eines aus.
Wenn Ihr Projekt keine Client-ID für den Webanwendungstyp hat, klicken Sie auf Anmeldedaten erstellen > OAuth-Client-ID, um eine zu erstellen. Achten Sie darauf, Ihre Websitedomain im Feld Autorisierte JavaScript-Quellen ein. Wenn Sie lokale Tests oder die Entwicklung vor Ort verwenden, müssen Sie sowohl
http://localhost
als auchhttp://localhost:<port_number>
in das Feld Autorisierte JavaScript-Quellen ein.
Implementierung validieren
您可以使用 OAuth 2.0 Playground 工具验证您的实现。
在该工具中,执行以下步骤:
- 点击配置 以打开 OAuth 2.0 配置窗口。
- 在 OAuth flow 字段中,选择 Client-side(客户端)。
- 在 OAuth 端点字段中,选择自定义。
- 在相应字段中指定您的 OAuth 2.0 端点和您分配给 Google 的客户端 ID。
- 在第 1 步部分,不要选择任何 Google 范围。请将此字段留空或输入对服务器有效的范围(如果您不使用 OAuth 范围,则可以输入任意字符串)。完成后,点击授权 API。
- 在 Step 2 和 Step 3 部分中,完成 OAuth 2.0 流程,并验证每个步骤是否按预期运行。
您可以使用 Google 账号关联演示版工具验证您的实现。
在该工具中,执行以下步骤:
- 点击使用 Google 账号登录按钮。
- 选择您要关联的账号。
- 输入服务 ID。
- (可选)输入您要请求访问权限的一个或多个范围。
- 点击开始演示。
- 当系统提示时,请确认您同意或拒绝关联请求。
- 确认您已被重定向到您的平台。