Отмена связи может быть инициирована на вашей платформе или в Google, а отображение согласованного состояния связи на обоих обеспечивает наилучшее взаимодействие с пользователем. Поддержка конечной точки отзыва токена или защиты между учетными записями не является обязательной для привязки учетной записи Google.
Аккаунты могут стать несвязанными одним из следующих способов:
- Запрос пользователя от
- приложение Google или настройки аккаунта Google
- Ваша платформа
- Невозможно обновить токен обновления с истекшим сроком действия
- Другие события, инициированные вами или Google. Например, приостановка действия учетной записи службами обнаружения злоупотреблений и угроз.
Пользователь запросил отмену связи с Google
Отмена связи учетной записи, инициированная через учетную запись Google или приложение пользователя, удаляет все ранее выданные токены доступа и обновления, отменяет согласие пользователя и при необходимости вызывает конечную точку отзыва токена, если вы решили ее реализовать.
Пользователь запросил отмену связи с вашей платформой
Вы должны предоставить пользователям механизм отмены связи, например URL-адрес своей учетной записи. Если вы не предлагаете пользователям возможность отменить связь, добавьте ссылку на учетную запись Google , чтобы пользователи могли управлять своей связанной учетной записью.
Вы можете внедрить совместное использование и совместное использование рисков и инцидентов (RISC) и уведомлять Google об изменениях статуса привязки учетных записей пользователей. Это позволяет улучшить взаимодействие с пользователем, когда и ваша платформа, и Google отображают текущий и непротиворечивый статус привязки без необходимости полагаться на запрос обновления или токена доступа для обновления состояния привязки.
Срок действия токена
Чтобы обеспечить бесперебойную работу пользователей и избежать сбоев в обслуживании, Google пытается обновить токены обновления ближе к концу их срока службы. В некоторых сценариях может потребоваться согласие пользователя для повторной привязки учетных записей, когда действительный токен обновления недоступен.
Проектирование вашей платформы для поддержки нескольких неистекших токенов доступа и обновления может свести к минимуму условия гонки, присутствующие при обмене клиент-сервер между кластерными средами, избежать прерывания работы пользователей и свести к минимуму сложные сценарии синхронизации и обработки ошибок. Несмотря на то, что в конечном итоге они будут согласованными, как ранее выпущенные, так и вновь выпущенные маркеры с неистекшим сроком действия могут использоваться в течение короткого периода времени во время обмена маркерами обновления клиент-сервер и до синхронизации кластера. Например, запрос Google к вашей службе, в котором используется предыдущий токен доступа с неистекшим сроком действия, происходит сразу после того, как вы выдаете новый токен доступа, но до получения и синхронизации кластера в Google. Рекомендуются меры безопасности, альтернативные ротации токенов обновления .
Другие события
Учетные записи могут быть отключены по различным причинам, таким как бездействие, приостановка действия, злонамеренное поведение и т. д. В таких сценариях ваша платформа и Google могут наилучшим образом управлять учетными записями пользователей и переустанавливать связь, уведомляя друг друга об изменениях в учетной записи и состоянии связи.
Реализуйте конечную точку отзыва токенов, которую Google будет вызывать, и уведомляйте Google о событиях отзыва токенов с помощью RISC, чтобы ваша платформа и Google поддерживали согласованное состояние связи учетной записи пользователя.
Конечная точка отзыва токена
如果您支持OAuth 2.0令牌吊销终结点，则您的平台可以接收来自Google的通知。这使您可以通知用户链接状态更改，使令牌无效以及清理安全凭证和授权授予。
该请求具有以下形式：
POST /revoke HTTP/1.1 Host: oauth2.example.com Content-Type: application/x-www-form-urlencoded client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&token=TOKEN&token_type_hint=refresh_token
您的令牌吊销终结点必须能够处理以下参数：
| 撤销端点参数 | |
|---|---|
client_id | 一个字符串，用于将请求来源标识为Google。此字符串必须在您的系统中注册为Google的唯一标识符。 |
client_secret | 您在Google注册的用于服务的秘密字符串。 |
token | 要撤消的令牌。 |
token_type_hint | （可选）要撤消的令牌类型，可以是access_token或refresh_token 。如果未指定，则默认为access_token 。 |
当令牌被删除或无效时返回响应。请参见以下示例：
HTTP/1.1 200 Success Content-Type: application/json;charset=UTF-8
如果由于某种原因无法删除令牌，请返回503响应代码，如以下示例所示：
HTTP/1.1 503 Service Unavailable Content-Type: application/json;charset=UTF-8 Retry-After: HTTP-date / delay-seconds
Google稍后或按照Retry-After的要求重试该请求。
Межаккаунтовая защита (RISC)
Если вы поддерживаете защиту нескольких аккаунтов, ваша платформа может уведомлять Google об отзыве токенов доступа или обновления. Это позволяет Google информировать пользователей об изменениях состояния ссылки, аннулировать токен, очищать учетные данные безопасности и предоставлять разрешения на авторизацию.
Защита между учетными записями основана на стандарте RISC , разработанном OpenID Foundation.
Токен события безопасности используется для уведомления Google об отзыве токена.
В декодированном виде событие отзыва токена выглядит следующим образом:
{
"iss":"http://risc.example.com",
"iat":1521068887,
"aud":"google_account_linking",
"jti":"101942095",
"toe": "1508184602",
"events": {
"https://schemas.openid.net/secevent/oauth/event-type/token-revoked":{
"subject_type": "oauth_token",
"token_type": "refresh_token",
"token_identifier_alg": "hash_SHA512_double",
"token": "double SHA-512 hash value of token"
}
}
}
Токены событий безопасности, которые вы используете для уведомления Google о событиях отзыва токенов, должны соответствовать требованиям, указанным в следующей таблице:
| События отзыва токена | |||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|
iss | Заявление эмитента: это URL-адрес, который вы размещаете, и он передается Google во время регистрации. | ||||||||||
aud | Заявление аудитории: оно идентифицирует Google как получателя JWT. Должно быть установлено значение google_account_linking . | ||||||||||
jti | Заявление JWT ID: это уникальный идентификатор, который вы создаете для каждого токена события безопасности. | ||||||||||
iat | Выдано при утверждении: это значение NumericDate , которое представляет время создания этого токена события безопасности. | ||||||||||
toe | Время утверждения события: это необязательное значение NumericDate , которое представляет время отзыва токена. | ||||||||||
exp | Заявление об истечении срока действия: не включайте это поле, поскольку событие, повлекшее за собой это уведомление, уже произошло. | ||||||||||
events |
| ||||||||||
Дополнительные сведения о типах и форматах полей см. в разделе JSON Web Token (JWT) .