Vinculación de cuentas con OAuth

El tipo de vinculación por OAuth admite dos flujos de OAuth 2.0 estándares de la industria: los flujos de código implícito y de autorización.

在隐式代码流程中，Google 会在用户浏览器中打开您的授权端点。成功登录后，系统会向 Google 返回长期访问令牌。现在，从 Google 助理向你的 Action 发送的每个请求中都包含此访问令牌。

在授权代码流程中，您需要两个端点：

• 授权端点，该端点负责向尚未登录的用户显示登录界面，并以短期授权代码的形式记录所请求的访问。
• 令牌交换端点，负责两种类型的交换：
  1. 将授权代码交换为长期刷新令牌和短期访问令牌。用户完成帐号关联流程后，系统会进行这种交换。
  2. 将长期刷新令牌换成短期访问令牌。Google 需要新访问令牌时，由于此令牌已过期，因此会进行此交换。

虽然隐式代码流程的实现更简单，但 Google 建议通过隐式流程发出的访问令牌永远不会过期，因为将令牌过期与隐式流程一起使用会强制用户再次关联其帐号。如果出于安全考虑需要令牌到期，强烈建议您考虑使用身份验证代码流程。

Implementa la vinculación de cuentas con OAuth

Configura el proyecto

Para configurar tu proyecto de modo que use la vinculación por OAuth, sigue estos pasos:

1. Abre la Consola de Actions y selecciona el proyecto que deseas usar.
2. Haz clic en la pestaña Desarrollar y elige Vinculación de la cuenta.
3. Activa el interruptor junto a Vinculación de cuentas.
4. En la sección Creación de cuentas, selecciona No, solo quiero permitir la creación de cuentas en mi sitio web.

5. En Tipo de vinculación, selecciona OAuth y Implícito.

   

6. En Client Information, haz lo siguiente:

   • Asigna un valor a Client ID issued by your Actions to Google para identificar las solicitudes provenientes de Google.
   • Inserta las URLs de tus extremos de autorización y de intercambio de tokens.

6. Haz clic en Guardar.

Implementa tu servidor de OAuth

Para admitir el flujo implícito de OAuth 2.0, tu servicio hace una autorización de destino disponible a través de HTTPS. Este extremo es responsable de autenticar y obtener el consentimiento de los usuarios para acceder a los datos. El extremo de autorización presenta una IU de acceso a los usuarios que aún no accedieron y registra el acceso solicitado.

Cuando tu acción necesita llamar a una de las APIs autorizadas de tu servicio, Google usa este extremo para obtener permiso de los usuarios para llamar a estas APIs en sus nombre.

Una sesión típica de flujo implícito de OAuth 2.0 que inicia Google tiene la siguiente flujo:

1. Google abre el extremo de autorización en el navegador del usuario. El el usuario accede a la cuenta si aún no lo ha hecho y le concede a Google permiso para acceder sus datos con tu API si aún no han otorgado permiso.
2. Tu servicio crea un token de acceso y lo devuelve a Google redireccionando el navegador del usuario de vuelta a Google con el token de acceso que se adjuntan a la solicitud.
3. Google llama a las APIs de tu servicio y adjunta el token de acceso con cada solicitud. Tu servicio verifica que el token de acceso otorgue a Google autorización para acceder a la API y, luego, completa la llamada a la API.

Maneja solicitudes de autorización

Cuando tu acción necesite vincular cuentas mediante un flujo implícito de OAuth 2.0, Google envía al usuario a tu extremo de autorización con una solicitud que incluye los siguientes parámetros:

Por ejemplo, si tu extremo de autorización está disponible en https://myservice.example.com/auth, una solicitud podría verse así:

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token

Para que tu extremo de autorización controle las solicitudes de acceso, sigue estos pasos:

1. Verifica los valores client_id y redirect_uri para evita que se otorgue acceso a apps cliente no deseadas o configuradas incorrectamente:

   • Confirma que client_id coincida con el ID de cliente que asignados a Google.
   • Confirma que la URL especificada por redirect_uri tiene la siguiente forma:

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID

     YOUR_PROJECT_ID es el ID que se encuentra en la página Configuración del proyecto de la Consola de Actions.

2. Verifica si el usuario accedió a tu servicio. Si el usuario no está firmado completa el flujo de acceso o registro del servicio.

3. Genera un token de acceso que Google usará para acceder a tu API. El el token de acceso puede ser cualquier valor de cadena, pero debe representar de forma única usuario y cliente para el que es el token y no se debe poder adivinar.

4. Envía una respuesta HTTP que redirecciona el navegador del usuario a la URL especificadas por el parámetro redirect_uri. Incluye todos los siguientes parámetros en el fragmento de URL:

   • access_token: Es el token de acceso que acabas de generar.
   • token_type: Es la cadena bearer.
   • state: Es el valor del estado sin modificar del original. solicitud El siguiente es un ejemplo de la URL resultante:

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING

El controlador de redireccionamiento de OAuth 2.0 de Google recibirá el token de acceso y confirmará que el valor de state no haya cambiado. Después de que Google obtiene una token de acceso para tu servicio, Google adjuntará el token a las llamadas posteriores a tu acción como parte de AppRequest.

Diseña la interfaz de usuario por voz para el flujo de autenticación

Verifica si el usuario está verificado y comienza el flujo de vinculación de cuentas

1. Abre tu proyecto de Actions Builder en la Consola de Actions.
2. Crea una escena nueva para iniciar la vinculación de cuentas en tu Acción:
   1. Haz clic en Scenes.
   2. Haz clic en el ícono de agregar (+) para agregar una escena nueva.
3. En la escena recién creada, haz clic en el ícono de agregar add para Condiciones.
4. Agrega una condición que verifique si el usuario asociado a la conversación es un usuario verificado. Si la verificación falla, tu Acción no podrá realizar la vinculación de cuentas durante la conversación y deberá recurrir a proporcionar acceso a la funcionalidad que no requiere la vinculación de cuentas.
   1. En el campo Enter new expression en Condición, ingresa la siguiente lógica: user.verificationStatus != "VERIFIED"
   2. En Transición, selecciona una escena que no requiera la vinculación de la cuenta o una escena que sea el punto de entrada a la funcionalidad solo para invitados.

1. Haz clic en el ícono de agregar add para Condiciones.
2. Agrega una condición para activar un flujo de vinculación de cuentas si el usuario no tiene una identidad asociada.
   1. En el campo Enter new expression de Condición, ingresa la siguiente lógica: user.verificationStatus == "VERIFIED"
   2. En Transition, selecciona la escena del sistema Account Linking.
   3. Haz clic en Guardar.

Después de guardar, se agregará a tu proyecto una nueva escena del sistema de vinculación de cuentas llamada <SceneName>_AccountLinking.

Personaliza la escena de vinculación de cuentas

1. En Scenes, selecciona la escena del sistema de vinculación de cuentas.
2. Haz clic en Enviar mensaje y agrega una oración breve para describirle al usuario por qué la acción necesita acceder a su identidad (por ejemplo, "Para guardar tus preferencias").
3. Haz clic en Guardar.

1. En Condiciones, haz clic en Si el usuario completa correctamente la vinculación de la cuenta.
2. Configura cómo debe continuar el flujo si el usuario acepta vincular su cuenta. Por ejemplo, llama al webhook para procesar cualquier lógica empresarial personalizada que se requiera y volver a la escena de origen.
3. Haz clic en Guardar.

1. En Condiciones, haz clic en Si el usuario cancela o descarta la vinculación de la cuenta.
2. Configura cómo debe continuar el flujo si el usuario no acepta vincular su cuenta. Por ejemplo, envía un mensaje de confirmación y redirecciona a escenas que proporcionan funcionalidad que no requiere la vinculación de la cuenta.
3. Haz clic en Guardar.

1. En Condiciones, haz clic en Si se produce un error del sistema o de la red.
2. Configura cómo debe continuar el flujo si no se puede completar el flujo de vinculación de cuentas debido a errores del sistema o de red. Por ejemplo, envía un mensaje de confirmación y redirecciona a escenas que proporcionan funcionalidad que no requiere la vinculación de la cuenta.
3. Haz clic en Guardar.

Cómo controlar las solicitudes de acceso a los datos

Si la solicitud del Asistente contiene un token de acceso, primero verifica que el token de acceso sea válido (y no haya vencido) y, luego, recupera la cuenta de usuario asociada de tu base de datos.