Tuân thủ các chính sách của OAuth 2.0

Khi đã sẵn sàng triển khai giải pháp đã triển khai bên ngoài môi trường phát triển cho người dùng ứng dụng, bạn có thể cần thực hiện thêm các bước để tuân thủ Chính sách OAuth 2.0 của Google. Trong hướng dẫn này, chúng tôi trình bày cách tuân thủ các vấn đề thường gặp nhất dành cho nhà phát triển khi bạn chuẩn bị ứng dụng cho phiên bản chính thức. Cách này giúp bạn tiếp cận nhiều đối tượng nhất có thể nhưng kèm theo một số lỗi nhỏ.

Sử dụng các dự án riêng biệt để thử nghiệm và sản xuất

Chính sách OAuth của Google yêu cầu các dự án riêng biệt để thử nghiệm và sản xuất. Một số chính sách và yêu cầu chỉ áp dụng cho các ứng dụng đang hoạt động. Bạn có thể cần tạo và định cấu hình một dự án riêng, bao gồm các ứng dụng OAuth tương ứng với phiên bản chính thức của ứng dụng được cung cấp cho tất cả Tài khoản Google.

Các ứng dụng OAuth của Google được dùng trong quá trình sản xuất sẽ giúp cung cấp môi trường thu thập và lưu trữ dữ liệu ổn định, dễ dự đoán và bảo mật hơn các ứng dụng OAuth tương tự kiểm thử hoặc gỡ lỗi cùng một ứng dụng. Dự án thực tế của bạn có thể gửi để xác minh. Do đó, bạn phải tuân theo các yêu cầu bổ sung đối với phạm vi API cụ thể, có thể bao gồm cả việc đánh giá bảo mật của bên thứ ba.

  1. Go to the Google API Console. Click Create project, enter a name, and click Create.
  2. Xem lại các ứng dụng OAuth trong dự án này mà có thể được liên kết với cấp kiểm thử của bạn. Nếu có thể, hãy tạo các ứng dụng OAuth tương tự cho các ứng dụng sản xuất trong dự án phát hành chính thức của bạn.
  3. Bật mọi API mà ứng dụng của bạn sử dụng.
  4. Xem lại cấu hình Màn hình xin phép bằng OAuth trong dự án mới.

Ứng dụng OAuth của Google được dùng trong phiên bản chính thức không được chứa môi trường thử nghiệm, URI chuyển hướng hoặc nguồn gốc JavaScript chỉ dành cho bạn hoặc nhóm phát triển của bạn. Sau đây là một số ví dụ:

  • Máy chủ thử nghiệm của từng nhà phát triển
  • Phiên bản thử nghiệm hoặc bản phát hành trước của ứng dụng

Duy trì danh sách người liên hệ có liên quan cho dự án

Google, và các API riêng lẻ mà bạn bật, có thể cần phải liên hệ với bạn về các thay đổi đối với dịch vụ của Google hoặc các cấu hình mới mà dự án và khách hàng của bạn cần có. Xem lại trang thông tin IAM của dự án để đảm bảo những người có liên quan trong nhóm của bạn có quyền truy cập để chỉnh sửa hoặc xem cấu hình dự án của bạn. Những tài khoản này cũng có thể nhận được email về các thay đổi bắt buộc đối với dự án của bạn.

Vai trò có một tập hợp các quyền cho phép bạn thực hiện các thao tác cụ thể trên tài nguyên dự án. Người chỉnh sửa dự án có quyền đối với những hành động sửa đổi trạng thái, chẳng hạn như khả năng thay đổi màn hình xin phép bằng OAuth của dự án. Chủ sở hữu dự án có tất cả các quyền của người chỉnh sửa đều có thể thêm hoặc xoá tài khoản liên kết với dự án hoặc xoá dự án. Chủ sở hữu dự án cũng có thể cung cấp bối cảnh về lý do đặt thông tin thanh toán. Chủ sở hữu dự án có thể thiết lập thông tin thanh toán cho một dự án sử dụng API có tính phí.

Chủ sở hữu và người chỉnh sửa dự án phải luôn được cập nhật. Bạn có thể thêm nhiều tài khoản liên quan vào dự án của mình để đảm bảo khả năng tiếp tục sử dụng dự án và các hoạt động bảo trì liên quan. Chúng tôi sẽ gửi email đến các tài khoản đó khi có thông báo về dự án của bạn hoặc thông tin cập nhật về dịch vụ của chúng tôi. Quản trị viên tổ chức Google Cloud phải đảm bảo rằng một người liên hệ có thể truy cập được liên kết với mọi dự án trong tổ chức của họ. Nếu chúng tôi không có thông tin liên hệ mới nhất cho dự án của bạn, thì bạn có thể bỏ lỡ những thông báo quan trọng cần bạn thực hiện.

Trình bày chính xác danh tính của bạn

Cung cấp tên ứng dụng hợp lệ và một biểu trưng (không bắt buộc) cho người dùng thấy. Thông tin về thương hiệu này phải thể hiện chính xác danh tính của ứng dụng. Thông tin thương hiệu của ứng dụng được định cấu hình từ OAuth Consent Screen page.

Đối với các ứng dụng chính thức, thông tin về thương hiệu được xác định trong màn hình xin phép bằng OAuth phải được xác minh trước khi hiển thị cho người dùng. Người dùng có thể sẽ cấp quyền truy cập vào ứng dụng của bạn sau khi ứng dụng hoàn tất quy trình xác minh thương hiệu. Thông tin cơ bản về ứng dụng, bao gồm tên, trang chủ, điều khoản dịch vụ và chính sách quyền riêng tư của ứng dụng, sẽ hiển thị cho người dùng trên màn hình cấp quyền, khi họ xem lại các khoản tài trợ hiện có hoặc cho quản trị viên Google Workspace đánh giá việc sử dụng ứng dụng của tổ chức họ.

Google có thể thu hồi hoặc tạm ngưng quyền truy cập vào các Dịch vụ API của Google cũng như các sản phẩm và dịch vụ khác của Google đối với những ứng dụng trình bày sai danh tính của họ hoặc cố gắng đánh lừa người dùng.

Chỉ phạm vi yêu cầu mà bạn cần

Trong quá trình phát triển ứng dụng, bạn có thể đã sử dụng một phạm vi mẫu do API cung cấp để tạo bằng chứng về khái niệm trong ứng dụng của mình nhằm tìm hiểu thêm về các tính năng và chức năng của API. Các phạm vi ví dụ này thường yêu cầu nhiều thông tin hơn so với việc triển khai cuối cùng của ứng dụng, vì phạm vi này cung cấp phạm vi bao quát toàn diện về mọi thao tác có thể có đối với một API cụ thể. Ví dụ: phạm vi ví dụ có thể yêu cầu quyền đọc, ghi và xoá trong khi ứng dụng của bạn chỉ yêu cầu quyền đọc. Yêu cầu cấp các quyền liên quan có giới hạn ở thông tin quan trọng cần thiết để triển khai ứng dụng của bạn.

Hãy xem lại tài liệu tham khảo về điểm cuối API mà ứng dụng gọi và lưu ý phạm vi mà các điểm cuối đó yêu cầu để truy cập vào dữ liệu liên quan mà ứng dụng của bạn cần. Hãy xem lại mọi hướng dẫn cấp phép mà API cung cấp và mô tả chi tiết hơn về phạm vi của các lệnh đó để biết cách sử dụng phổ biến nhất. Chọn quyền truy cập dữ liệu tối thiểu mà ứng dụng của bạn cần để cung cấp các tính năng liên quan.

Để biết thêm thông tin về yêu cầu này, hãy đọc phần Chỉ yêu cầu phạm vi yêu cầu trong Chính sách OAuth 2.0, cùng với mục Yêu cầu quyền liên quan trong Chính sách dữ liệu người dùng đối với Dịch vụ API của Google.

Gửi các ứng dụng chính thức sử dụng phạm vi nhạy cảm hoặc bị hạn chế để xác minh

Một số phạm vi được phân loại là "sensitive" hoặc "bị hạn chế" và không thể dùng trong các ứng dụng chính thức khi chưa được xem xét. Nhập tất cả các phạm vi mà ứng dụng phát hành chính thức của bạn sử dụng trong cấu hình Màn hình xin phép bằng OAuth. Nếu ứng dụng đang hoạt động của bạn sử dụng phạm vi nhạy cảm hoặc bị hạn chế, bạn phải gửi thông tin về việc bạn sử dụng phạm vi đó để xác minh trước khi đưa phạm vi vào yêu cầu ủy quyền.

Chỉ sử dụng những miền bạn sở hữu

Quy trình xác minh màn hình xin phép bằng OAuth của Google yêu cầu xác minh tất cả miền liên kết với trang chủ, chính sách quyền riêng tư, điều khoản dịch vụ, URI chuyển hướng hoặc các nguồn gốc JavaScript được ủy quyền của dự án. Xem lại danh sách các miền mà ứng dụng của bạn đang sử dụng, được tóm tắt trong phần Các miền được ủy quyền trong trình chỉnh sửa màn hình xin phép bằng OAuth, rồi xác định mọi miền mà bạn không sở hữu nên không thể xác minh. Để xác minh quyền sở hữu đối với các miền được ủy quyền của dự án, hãy sử dụng Google Search Console. Sử dụng một Tài khoản Google được liên kết với dự án API Console của bạn với tư cách là Chủ sở hữu hoặc Người chỉnh sửa.

Nếu dự án của bạn sử dụng nhà cung cấp dịch vụ có miền chung, dùng chung, thì bạn nên bật các cấu hình cho phép sử dụng miền của riêng bạn. Một số nhà cung cấp đề nghị liên kết dịch vụ của họ với một miền con của miền mà bạn đã sở hữu.

Lưu trữ trang chủ cho các ứng dụng chính thức

Mọi ứng dụng chính thức sử dụng OAuth 2.0 phải có một trang chủ có thể truy cập công khai. Người dùng tiềm năng của ứng dụng có thể truy cập vào trang chủ để tìm hiểu thêm về các tính năng và chức năng của ứng dụng. Người dùng hiện tại có thể xem lại danh sách tài trợ hiện có của họ và truy cập vào trang chủ của ứng dụng để nhắc họ về việc tiếp tục sử dụng các ưu đãi của bạn.

Trang chủ của ứng dụng phải bao gồm nội dung mô tả về chức năng của ứng dụng, cũng như đường liên kết đến chính sách quyền riêng tư và điều khoản dịch vụ (không bắt buộc). Trang chủ phải tồn tại trên một miền đã xác minh thuộc quyền sở hữu của bạn.

Dùng URI chuyển hướng an toàn và nguồn gốc JavaScript

Ứng dụng OAuth 2.0 cho ứng dụng web phải bảo mật dữ liệu bằng URI và URI chuyển hướng HTTPS, chứ không phải HTTP thuần tuý. Google có thể từ chối các yêu cầu OAuth không bắt nguồn hoặc phân giải thành một ngữ cảnh an toàn.

Cân nhắc những ứng dụng và tập lệnh bên thứ ba có thể có quyền truy cập vào mã thông báo và các thông tin xác thực người dùng khác quay lại trang của bạn. Giới hạn quyền truy cập vào dữ liệu nhạy cảm bằng các vị trí URI chuyển hướng bị giới hạn ở việc xác minh và lưu trữ dữ liệu mã thông báo.

Các bước tiếp theo

Sau khi bạn đảm bảo rằng ứng dụng của mình tuân thủ các chính sách OAuth 2.0 trên trang này, hãy xem bài viết Gửi để xác minh thương hiệu để biết thông tin chi tiết về quy trình xác minh.