OAuth tabanlı Google ile Oturum Açma ile hesap bağlama "Basitleştirilmiş" bağlantı oluşturma

OAuth tabanlı Google ile oturum açma "Basitleştirilmiş" bağlama türü, OAuth tabanlı hesap bağlamanın üzerine Google ile oturum açma özelliğini ekler. Bu, Google kullanıcıları için sorunsuz ses tabanlı bağlantı sağlarken Google dışı bir kimlikle hizmetinize kaydolan kullanıcılar için de hesap bağlantısını etkinleştirir.

Bu bağlantı türü, kullanıcının Google profil bilgilerinin sisteminizde olup olmadığını kontrol etmenize olanak tanıyan Google ile oturum açma işlemiyle başlar. Kullanıcının bilgileri sisteminizde bulunamazsa standart bir OAuth akışı başlar. Kullanıcı, Google profili bilgilerini kullanarak yeni bir hesap oluşturmayı da seçebilir.

Hesap bağlama işlemini basitleştirilmiş bağlama türüyle gerçekleştirmek için şu genel adımları uygulayın:

1. Öncelikle kullanıcıdan Google profiline erişim izni vermesini isteyin.
2. Kullanıcıyı tanımlamak için profilindeki bilgileri kullanın.
3. Kimlik doğrulama sisteminizde Google kullanıcısıyla eşleşen bir kullanıcı bulamazsanız akış, İşlemler projenizi İşlemler konsolunda kullanıcı hesabı oluşturmaya sesli olarak veya yalnızca web sitenizde izin verecek şekilde yapılandırıp yapılandırmadığınıza bağlı olarak devam eder.
   • Sesle hesap oluşturmaya izin veriyorsanız Google'dan alınan kimlik jetonunu doğrulayın. Ardından, kimlik jetonunda bulunan profil bilgilerine göre bir kullanıcı oluşturabilirsiniz.
   • Sesle hesap oluşturmaya izin vermiyorsanız kullanıcı, yetkilendirme sayfanızı yükleyip kullanıcı oluşturma akışını tamamlayabileceği bir tarayıcıya aktarılır.

Sesli olarak hesap oluşturmayı destekleme

Kullanıcı hesabı oluşturma işleminin sesle yapılmasına izin verirseniz Asistan, kullanıcıya aşağıdakileri yapmak isteyip istemediğini sorar:

• Google Hesabı bilgilerini kullanarak sisteminizde yeni bir hesap oluşturun veya
• Mevcut bir Google dışı hesapları varsa kimlik doğrulama sisteminizde farklı bir hesapla oturum açabilirler.

Hesap oluşturma akışındaki zorlukları en aza indirmek istiyorsanız sesle hesap oluşturmaya izin vermeniz önerilir. Kullanıcının, Google dışı mevcut bir hesabı kullanarak oturum açmak istemesi durumunda sesli akıştan çıkması yeterlidir.

Sesle hesap oluşturmaya izin verme

Kullanıcı hesabı oluşturma işleminin sesle yapılmasını engellediyseniz Asistan, kullanıcı kimlik doğrulaması için sağladığınız web sitesinin URL'sini açar. Etkileşim, ekranı olmayan bir cihazda gerçekleşiyorsa Asistan, hesap bağlama akışına devam etmesi için kullanıcıyı telefona yönlendirir.

Aşağıdaki durumlarda oluşturmanın devre dışı bırakılması önerilir:

• Google Hesabı olmayan kullanıcıların yeni bir kullanıcı hesabı oluşturmasına izin vermek istemiyorsanız ve bunun yerine kimlik doğrulama sisteminizdeki mevcut kullanıcı hesaplarına bağlanmalarını istiyorsanız. Örneğin, bir bağlılık programı sunuyorsanız kullanıcının mevcut hesabında biriken puanları kaybetmediğinden emin olmak isteyebilirsiniz.

• Hesap oluşturma akışını tam olarak kontrol etmeniz gerekir. Örneğin, hesap oluşturma sırasında hizmet şartlarınızı kullanıcıya göstermeniz gerekiyorsa oluşturmaya izin vermeyebilirsiniz.

OAuth tabanlı Google ile Oturum Açma "Basitleştirilmiş" bağlama özelliğini uygulama

Hesaplar, endüstri standardı OAuth 2.0 akışlarıyla bağlanır. Actions on Google, örtülü ve yetkilendirme kodu akışlarını destekler.

Dolaylı kod akışında Google, yetkilendirme uç noktanızı kullanıcının tarayıcısında açar. Başarılı bir şekilde oturum açtıktan sonra Google'a uzun ömürlü bir erişim jetonu döndürürsünüz. Bu erişim jetonu artık Asistan'dan Action'ınıza gönderilen her isteğe dahil edilir.

Yetkilendirme kodu akışında iki uç noktaya ihtiyacınız vardır:

• Oturum açma kullanıcı arayüzünü henüz oturum açmamış kullanıcılara sunmaktan ve istenen erişime kısa süreli bir yetkilendirme kodu biçiminde izin kaydetmekten sorumlu olan yetkilendirme uç noktası.
• İki tür exchange'den sorumlu olan jeton değişimi uç noktası:
  1. Yetkilendirme kodunu uzun ömürlü yenileme jetonu ve kısa ömürlü erişim jetonu ile değiştirir. Bu değişim, kullanıcı hesap bağlama akışından geçer.
  2. Kısa ömürlü bir erişim jetonu için uzun süreli yenileme jetonunu değiştirir. Bu exchange, Google'ın süresi dolmuş olduğundan yeni bir erişim jetonuna ihtiyacı olduğunda gerçekleşir.

Örtülü akış kullanılarak verilen erişim jetonlarının geçerlilik süresinin hiçbir zaman dolmaması, Google'ın örtülü akışla kullanılması nedeniyle kullanıcının hesabını tekrar bağlamayı zorunlu kıldığı için Google, örtülü akış akışının uygulanmasını önerir. Güvenlik nedeniyle jetonun süresinin dolması gerekiyorsa kimlik doğrulama kodu akışını kullanmanız önerilir.

Projeyi yapılandırma

Projenizi basitleştirilmiş bağlantıyı kullanacak şekilde yapılandırmak için aşağıdaki adımları uygulayın:

1. Actions Console'u açın ve kullanmak istediğiniz projeyi seçin.
2. Geliştir sekmesini tıklayın ve Hesap bağlama'yı seçin.
3. Hesap bağlama'nın yanındaki anahtarı etkinleştirin.
4. Hesap oluşturma bölümünde Evet'i seçin.

5. Bağlantı türü bölümünde OAuth ve Google ile oturum açma ile Dolaylı'yı seçin.

   

6. Müşteri Bilgileri bölümünde aşağıdakileri yapın:

   • Google'dan gelen istekleri tanımlamak için Google'a yönelik İşlemleriniz tarafından verilen istemci kimliği özelliğine bir değer atayın.
   • Yetkilendirme ve Jeton Değişimi uç noktalarınızın URL'lerini ekleyin.

7. Kaydet'i tıklayın.

OAuth sunucunuzu uygulama

为了支持 OAuth 2.0 隐式流程，您的服务会进行授权 端点。此端点负责 就数据访问征得用户同意。授权端点 向尚未登录的用户显示登录界面，并记录 同意所请求的访问。

当您的 Action 需要调用您的某项授权的 API 时，Google 会使用 此端点来获得用户许可，以在其上调用这些 API 。

由 Google 发起的典型 OAuth 2.0 隐式流会话具有以下特征： 以下流程：

1. Google 会在用户的浏览器中打开您的授权端点。通过 如果用户尚未登录，则可以登录，并且授予 Google 访问 通过您的 API 访问其数据（如果尚未授予权限）。
2. 您的服务会创建一个访问令牌并将其返回给 通过使用访问令牌将用户的浏览器重定向回 Google， 附件。
3. Google 调用您的服务的 API，并使用 。您的服务会验证访问令牌是否向 Google 授予 访问 API 的授权，然后完成 API 调用。

处理授权请求

当您的 Action 需要通过 OAuth 2.0 隐式流程执行账号关联时， Google 会通过包含以下内容的请求将用户发送到您的授权端点： 以下参数：

例如，如果您的授权端点可通过 https://myservice.example.com/auth 访问， 请求可能如下所示：

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token

为了让授权端点能够处理登录请求，请执行以下步骤：

1. 验证 client_id 和 redirect_uri 值， 防止向意外或配置错误的客户端应用授予访问权限：

   • 确认 client_id 是否与您的客户端 ID 匹配 分配给 Google。
   • 确认 redirect_uri 指定的网址 参数的格式如下：

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID

     YOUR_PROJECT_ID 是项目设置页面上的 ID Actions 控制台界面。

2. 检查用户是否已登录您的服务。如果用户未登录 中，完成服务的登录或注册流程。

3. 生成 Google 将用于访问您的 API 的访问令牌。通过 访问令牌可以是任何字符串值，但必须唯一地表示 令牌对应的用户和客户端，且不得被猜到。

4. 发送 HTTP 响应，将用户浏览器重定向到相应网址 由 redirect_uri 参数指定。添加所有 以下参数：

   • access_token：您刚刚生成的访问令牌
   • token_type：字符串 bearer
   • state：原始状态的未修改状态值 请求 以下是生成的网址示例：

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING

Google 的 OAuth 2.0 重定向处理程序将收到访问令牌并确认 state 值没有更改。在 Google 获得 访问令牌，则 Google 会将该令牌附加到后续调用 作为 AppRequest 的一部分添加到您的 Action。

处理自动关联

在用户同意你的 Action 访问他们的 Google 个人资料后，Google 发送请求，其中包含 Google 用户身份的已签名断言。 该断言包含的信息包括用户的 Google 账号 ID、姓名、 和电子邮件地址。为项目配置的令牌交换端点处理 请求。

如果您的身份验证系统中已经存在相应的 Google 账号， 您的令牌交换端点为用户返回令牌。如果 Google 账号没有 匹配现有用户，您的令牌交换端点会返回 user_not_found 错误。

请求的格式如下：

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=get&assertion=JWT&consent_code=CONSENT_CODE&scope=SCOPES

您的令牌交换端点必须能够处理以下参数：

当您的令牌交换端点收到关联请求时，它应该 以下：

验证和解码 JWT 断言

您可以使用适用于您语言的 JWT 解码库来验证和解码 JWT 断言。 使用 Google 的公钥（适用于 JWK 或 PEM 格式）来验证令牌的 签名。

解码后，JWT 断言如以下示例所示：

{
  "sub": 1234567890,        // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "locale": "en_US"
}

除了验证令牌的签名之外，还要验证断言的颁发者 （iss 字段）为 https://accounts.google.com，且受众群体（aud 字段） 是分配给您的 Action 的客户端 ID。

检查您的身份验证系统中是否已存在该 Google 账号

请检查以下任一条件是否成立：

• Google 账号 ID 可在断言的 sub 字段中找到，也可位于您的用户数据库中。
• 断言中的电子邮件地址与用户数据库中的用户匹配。

如果满足上述任一条件，则表明用户已经注册，您可以发出 访问令牌。

如果断言中指定的 Google 账号 ID 和电子邮件地址都没有 与您数据库中的用户匹配，表示该用户尚未注册。在这种情况下，您的 令牌交换端点应回复 HTTP 401 错误，指定 error=user_not_found， 如以下示例中所示：

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"user_not_found",
}

Google ile Oturum Açma aracılığıyla hesap oluşturma

Bir kullanıcının hizmetinizde hesap oluşturması gerektiğinde Google, intent=create, aşağıdaki örnekte gösterildiği gibi:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

response_type=token&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&scope=SCOPES&intent=create&consent_code=CONSENT_CODE&assertion=JWT[&NEW_ACCOUNT_INFO]

assertion parametresi, şunları sağlayan bir JSON Web Token (JWT) içerir: Google kullanıcısının kimliğinin imzalı onayı. JWT, alan adında Kullanıcının Google Hesap kimliğini, adını ve e-posta adresini içeren hizmetinizde yeni bir hesap oluşturun.

Hesap oluşturma isteklerine yanıt vermek için jeton değişimi uç noktanızın şunu yapması gerekir: şu:

验证和解码 JWT 断言

您可以使用适用于您语言的 JWT 解码库来验证和解码 JWT 断言。 使用 Google 的公钥（适用于 JWK 或 PEM 格式）来验证令牌的 签名。

解码后，JWT 断言如以下示例所示：

{
  "sub": 1234567890,        // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "locale": "en_US"
}

除了验证令牌的签名之外，还要验证断言的颁发者 （iss 字段）为 https://accounts.google.com，且受众群体（aud 字段） 是分配给您的 Action 的客户端 ID。

Kullanıcı bilgilerini doğrulayın ve yeni hesap oluşturun

Aşağıdaki koşullardan herhangi birinin doğru olup olmadığını kontrol edin:

• Onaylamanın sub alanında bulunan Google Hesabı kimliği, kullanıcı veritabanınızda yer alır.
• Onaylamadaki e-posta adresi, kullanıcı veritabanınızdaki bir kullanıcıyla eşleşiyor.

İki koşul da doğruysa kullanıcıdan mevcut hesabını isteğe bir HTTP 401 hatasıyla yanıt vererek ve error=linking_error ve kullanıcının e-posta adresi login_hint olarak (örneğin,) şu örneği inceleyin:

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"foo@bar.com"
}

İki koşul da doğru değilse bilgileri kullanarak yeni bir kullanıcı hesabı oluşturun bu formu doldurmanızı öneririm. Yeni hesaplarda genellikle belirlenmiş bir şifre bulunmaz. Evet kullanıcıların giriş yapmasına olanak tanımak için Google ile Oturum Açma'yı diğer platformlara eklemenizi önerdi bir ürün gösterebilirsiniz. Alternatif olarak şifre kurtarma akışınızı başlatan bir bağlantı içeren bir e-posta gönderin. diğer platformlarda oturum açmak için kullanabileceğiniz bir şifre oluşturun.

Oluşturma işlemi tamamlandığında bir erişim jetonu düzenleyin ve değerleri şurada bir JSON nesnesinin içinde döndürür: aşağıdaki örnekte olduğu gibi HTTPS yanıtınızın gövdesini yazın:

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",
  
  "expires_in": SECONDS_TO_EXPIRATION
}

Kimlik doğrulama akışı için sesli kullanıcı arayüzünü tasarlama

Kullanıcının doğrulanıp doğrulanmadığını kontrol edin ve hesap bağlama akışını başlatın.

1. Actions Builder projenizi Actions Console'da açın.
2. İşleminizde hesap bağlama işlemini başlatmak için yeni bir sahne oluşturun:
   1. Sahneler'i tıklayın.
   2. Yeni bir sahne eklemek için ekle (+) simgesini tıklayın.
3. Yeni oluşturulan sahnede, Koşullar için ekle simgesini add tıklayın.
4. Sohbetle ilişkili kullanıcının doğrulanmış bir kullanıcı olup olmadığını kontrol eden bir koşul ekleyin. Kontrol başarısız olursa İşleminiz, görüşme sırasında hesap bağlama işlemini gerçekleştiremez ve hesap bağlama gerektirmeyen işlevlere erişim sağlamaya geri dönmelidir.
   1. Koşul bölümündeki Enter new expression alanına aşağıdaki mantığı girin: user.verificationStatus != "VERIFIED"
   2. Geçiş bölümünde, hesap bağlama gerektirmeyen veya yalnızca konuklara özel işlevlerin giriş noktası olan bir sahne seçin.

1. Koşullar için ekle simgesini add tıklayın.
2. Kullanıcının ilişkili bir kimliği yoksa hesap bağlama akışını tetikleyecek bir koşul ekleyin.
   1. Koşul bölümündeki Enter new expression alanına aşağıdaki mantığı girin: user.verificationStatus == "VERIFIED"
   2. Geçiş bölümünde Hesap Bağlama sistem sahnesini seçin.
   3. Kaydet'i tıklayın.

Kaydettikten sonra projenize <SceneName>_AccountLinking adlı yeni bir hesap bağlama sistemi sahnesi eklenir.

Hesap bağlama sahnesini özelleştirme

1. Sahneler bölümünde hesap bağlama sistemi sahnesini seçin.
2. İstemi gönder'i tıklayın ve kullanıcıya İşlem'in kimliğine neden erişmesi gerektiğini açıklayan kısa bir cümle ekleyin (örneğin, "Tercihlerinizi kaydetmek için").
3. Kaydet'i tıklayın.

1. Koşullar bölümünde Kullanıcı hesap bağlama işlemini başarıyla tamamlarsa'yı tıklayın.
2. Kullanıcı hesabını bağlamayı kabul ederse akışın nasıl devam edeceğini yapılandırın. Örneğin, gerekli özel işletme mantığını işlemek ve başlangıç sahnesine geri dönmek için webhook'u çağırın.
3. Kaydet'i tıklayın.

1. Koşullar bölümünde Kullanıcı hesap bağlantısını iptal ederse veya kapatırsa'yı tıklayın.
2. Kullanıcı hesabını bağlamayı kabul etmezse akışın nasıl devam edeceğini yapılandırın. Örneğin, onay mesajı gönderin ve hesap bağlama gerektirmeyen işlevler sunan sahnelere yönlendirin.
3. Kaydet'i tıklayın.

1. Koşullar bölümünde Sistem veya ağ hatası oluşursa'yı tıklayın.
2. Hesap bağlama akışı, sistem veya ağ hataları nedeniyle tamamlanamazsa akışın nasıl devam edeceğini yapılandırın. Örneğin, onay mesajı gönderin ve hesap bağlama gerektirmeyen işlevler sunan sahnelere yönlendirin.
3. Kaydet'i tıklayın.

Veri erişimi isteklerini ele alma

Asistan isteği erişim jetonu içeriyorsa, önce erişim jetonunun geçerli ve süresinin dolmadığını kontrol edin, ardından jetonla ilişkili kullanıcı hesabını kullanıcı hesabı veritabanınızdan alın.