Kể từ ngày 13 tháng 6 năm 2023, Hành động trò chuyện không còn được dùng nữa. Để biết thêm thông tin, hãy xem phần Hành động trò chuyện ngừng hoạt động.

Liên kết tài khoản với OAuth

Loại liên kết OAuth hỗ trợ 2 quy trình OAuth 2.0 tiêu chuẩn ngành, đó là quy trình ngầm định và quy trình mã uỷ quyền.

在隐式代码流程中，Google 会在用户浏览器中打开您的授权端点。成功登录后，系统会向 Google 返回长期访问令牌。现在，从 Google 助理向你的 Action 发送的每个请求中都包含此访问令牌。

在授权代码流程中，您需要两个端点：

授权端点，该端点负责向尚未登录的用户显示登录界面，并以短期授权代码的形式记录所请求的访问。
令牌交换端点，负责两种类型的交换：
1. 将授权代码交换为长期刷新令牌和短期访问令牌。用户完成帐号关联流程后，系统会进行这种交换。
2. 将长期刷新令牌换成短期访问令牌。Google 需要新访问令牌时，由于此令牌已过期，因此会进行此交换。

虽然隐式代码流程的实现更简单，但 Google 建议通过隐式流程发出的访问令牌永远不会过期，因为将令牌过期与隐式流程一起使用会强制用户再次关联其帐号。如果出于安全考虑需要令牌到期，强烈建议您考虑使用身份验证代码流程。

Triển khai tính năng liên kết tài khoản OAuth

Định cấu hình dự án

Để định cấu hình dự án sử dụng tính năng liên kết bằng OAuth, hãy làm theo các bước sau:

Mở Actions Console rồi chọn dự án mà bạn muốn sử dụng.
Nhấp vào thẻ Phát triển rồi chọn Liên kết tài khoản.
Bật nút chuyển bên cạnh mục Liên kết tài khoản.
Trong phần Tạo tài khoản, hãy chọn Không, tôi chỉ muốn cho phép tạo tài khoản trên trang web của mình.
Trong Loại liên kết, hãy chọn OAuth và Ngầm định.
Trong phần Thông tin khách hàng:
- Chỉ định một giá trị cho Mã khách hàng do Actions on Google cấp để xác định các yêu cầu đến từ Google.
- Chèn URL cho các điểm cuối Uỷ quyền và Trao đổi mã thông báo.

Nhấp vào Lưu.

Triển khai máy chủ OAuth

Để hỗ trợ quy trình ngầm ẩn OAuth 2.0, dịch vụ của bạn sẽ tạo một yêu cầu uỷ quyền điểm cuối được cung cấp bởi HTTPS. Điểm cuối này chịu trách nhiệm xác thực và có được sự đồng ý của người dùng về việc truy cập dữ liệu. Điểm cuối uỷ quyền biểu thị giao diện người dùng đăng nhập cho những người dùng chưa đăng nhập và ghi lại đồng ý với quyền truy cập được yêu cầu.

Khi Hành động của bạn cần gọi một trong những API được uỷ quyền của dịch vụ, Google sẽ sử dụng điểm cuối này để yêu cầu người dùng cho phép gọi các API này trên thay mặt cho bạn.

Một phiên luồng quy trình ngầm ẩn OAuth 2.0 điển hình do Google khởi tạo có quy trình sau:

Google sẽ mở điểm cuối uỷ quyền của bạn trong trình duyệt của người dùng. Chiến lược phát hành đĩa đơn người dùng đăng nhập nếu họ chưa đăng nhập và cấp cho Google quyền truy cập dữ liệu của họ cùng với API của bạn nếu họ chưa cấp quyền.
Dịch vụ của bạn sẽ tạo mã truy cập rồi trả lại cho Google bằng cách chuyển hướng trình duyệt của người dùng trở lại Google bằng mã truy cập được đính kèm vào yêu cầu.
Google gọi các API của dịch vụ và đính kèm mã truy cập bằng từng yêu cầu. Dịch vụ của bạn xác minh rằng mã truy cập cấp cho Google uỷ quyền truy cập API, sau đó hoàn tất lệnh gọi API.

Xử lý yêu cầu uỷ quyền

Khi Hành động của bạn cần thực hiện liên kết tài khoản thông qua luồng ngầm ẩn OAuth 2.0, Google đưa người dùng đến điểm cuối uỷ quyền của bạn kèm theo một yêu cầu bao gồm các thông số sau:

Tham số điểm cuối ủy quyền
`client_id`	Mã ứng dụng khách mà bạn đã chỉ định cho Google.
`redirect_uri`	URL mà bạn gửi phản hồi tới yêu cầu này.
`state`	Giá trị sổ sách được chuyển lại cho Google không thay đổi trong URI chuyển hướng.
`response_type`	Loại giá trị cần trả về trong phản hồi. Đối với OAuth 2.0 ngầm ẩn luồng, loại phản hồi luôn là `token`.

Ví dụ: nếu điểm cuối uỷ quyền của bạn có tại https://myservice.example.com/auth, một yêu cầu có thể có dạng như sau:

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token

Để điểm cuối uỷ quyền của bạn có thể xử lý các yêu cầu đăng nhập, hãy làm theo các bước sau:

Xác minh các giá trị client_id và redirect_uri để ngăn việc cấp quyền truy cập vào các ứng dụng khách ngoài ý muốn hoặc bị định cấu hình sai:
- Xác nhận rằng client_id khớp với mã ứng dụng khách mà bạn được chỉ định cho Google.
- Xác nhận rằng URL do redirect_uri chỉ định thông số đó có dạng như sau:
```
https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
```
  YOUR_PROJECT_ID là mã nhận dạng có trên trang Cài đặt dự án của Bảng điều khiển Actions.
Kiểm tra xem người dùng đã đăng nhập vào dịch vụ của bạn chưa. Nếu người dùng chưa ký hãy hoàn tất quy trình đăng nhập hoặc đăng ký dịch vụ của bạn.
Tạo mã truy cập mà Google sẽ dùng để truy cập vào API của bạn. Chiến lược phát hành đĩa đơn mã truy cập có thể là bất kỳ giá trị chuỗi nào, nhưng mã này phải thể hiện duy nhất người dùng và máy khách của mã thông báo đó và không được phép đoán.
Gửi phản hồi HTTP chuyển hướng trình duyệt của người dùng đến URL do tham số redirect_uri chỉ định. Bao gồm tất cả các tham số sau trong phân đoạn URL:
- access_token: mã truy cập bạn vừa tạo
- token_type: chuỗi bearer
- state: giá trị trạng thái chưa được sửa đổi so với giá trị gốc yêu cầu Sau đây là ví dụ về URL kết quả:
```
https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING
```

Trình xử lý chuyển hướng OAuth 2.0 của Google sẽ nhận mã truy cập và xác nhận rằng giá trị state không thay đổi. Sau khi Google có được mã truy cập của dịch vụ của bạn, Google sẽ đính kèm mã này vào các lệnh gọi tiếp theo đối với Hành động của bạn trong AppRequest.

Thiết kế giao diện người dùng bằng giọng nói cho quy trình xác thực

Kiểm tra xem người dùng đã được xác minh hay chưa và bắt đầu quy trình liên kết tài khoản

Mở dự án Actions Builder trong Bảng điều khiển Actions.
Tạo một cảnh mới để bắt đầu liên kết tài khoản trong Thao tác của bạn:
1. Nhấp vào Cảnh.
2. Nhấp vào biểu tượng thêm (+) để thêm một cảnh mới.
Trong cảnh mới tạo, hãy nhấp vào biểu tượng thêm cho Điều kiện.
Thêm một điều kiện để kiểm tra xem người dùng liên kết với cuộc trò chuyện có phải là người dùng đã xác minh hay không. Nếu quy trình kiểm tra không thành công, Hành động của bạn sẽ không thể thực hiện quy trình liên kết tài khoản trong cuộc trò chuyện và phải quay lại cung cấp quyền truy cập vào chức năng không yêu cầu liên kết tài khoản.
1. Trong trường Enter new expression trong mục Điều kiện, hãy nhập logic sau: user.verificationStatus != "VERIFIED"
2. Trong phần Chuyển cảnh, hãy chọn một cảnh không yêu cầu liên kết tài khoản hoặc một cảnh là điểm truy cập vào chức năng chỉ dành cho khách.

Nhấp vào biểu tượng thêm cho Điều kiện.
Thêm một điều kiện để kích hoạt quy trình liên kết tài khoản nếu người dùng không có danh tính được liên kết.
1. Trong trường Enter new expression trong mục Điều kiện, hãy nhập logic sau: user.verificationStatus == "VERIFIED"
2. Trong mục Chuyển đổi, hãy chọn cảnh hệ thống Liên kết tài khoản.
3. Nhấp vào Lưu.

Sau khi lưu, một cảnh liên kết tài khoản mới có tên là <SceneName>_AccountLinking sẽ được thêm vào dự án của bạn.

Tuỳ chỉnh cảnh liên kết tài khoản

Trong mục Cảnh, hãy chọn cảnh hệ thống liên kết tài khoản.
Nhấp vào Gửi câu lệnh rồi thêm một câu ngắn để mô tả cho người dùng lý do Hành động cần truy cập vào danh tính của họ (ví dụ: "Để lưu các lựa chọn ưu tiên của bạn").
Nhấp vào Lưu.

Trong mục Điều kiện, hãy nhấp vào Nếu người dùng hoàn tất việc liên kết tài khoản.
Định cấu hình cách quy trình sẽ diễn ra nếu người dùng đồng ý liên kết tài khoản của họ. Ví dụ: gọi webhook để xử lý mọi logic nghiệp vụ tuỳ chỉnh cần thiết và chuyển về cảnh ban đầu.
Nhấp vào Lưu.

Trong mục Điều kiện, hãy nhấp vào Nếu người dùng huỷ hoặc đóng tính năng liên kết tài khoản.
Định cấu hình cách quy trình sẽ diễn ra nếu người dùng không đồng ý liên kết tài khoản của họ. Ví dụ: gửi một thông báo xác nhận và chuyển hướng đến những cảnh cung cấp chức năng không yêu cầu liên kết tài khoản.
Nhấp vào Lưu.

Trong mục Điều kiện, hãy nhấp vào Nếu xảy ra lỗi hệ thống hoặc lỗi mạng.
Định cấu hình cách luồng nên tiếp tục nếu không thể hoàn tất luồng liên kết tài khoản do lỗi hệ thống hoặc lỗi mạng. Ví dụ: gửi một thông báo xác nhận và chuyển hướng đến những cảnh cung cấp chức năng không yêu cầu liên kết tài khoản.
Nhấp vào Lưu.

Xử lý yêu cầu truy cập dữ liệu

Nếu yêu cầu của Trợ lý có chứa mã truy cập, trước tiên, hãy kiểm tra để đảm bảo mã truy cập đó hợp lệ (và chưa hết hạn), sau đó truy xuất tài khoản người dùng được liên kết từ cơ sở dữ liệu của bạn.