Liên kết Tài khoản Google với OAuth

Các tài khoản được liên kết bằng quy trình ngầm định và mã uỷ quyền OAuth 2.0 theo tiêu chuẩn ngành.

OAuth 2.1 và PKCE cho nhân viên hỗ trợ

Đối với các tác nhân AI không trạng thái và quy trình đa phương thức, bạn nên thực thi OAuth 2.1.

  • PKCE (Khoá bằng chứng để trao đổi mã): Phải được dùng để bảo mật quy trình sử dụng mã uỷ quyền, ngăn chặn các cuộc tấn công chặn.
  • Không có luồng cấp quyền trực tiếp: Luồng cấp quyền trực tiếp cho phép hiển thị mã truy cập trong URL, đây là một rủi ro bảo mật đối với môi trường tác nhân.

Dịch vụ của bạn phải hỗ trợ các điểm cuối uỷ quyền và trao đổi mã thông báo tuân thủ OAuth 2.0/2.1.

Trong quy trình ngầm định, Google sẽ mở điểm cuối uỷ quyền của bạn trong trình duyệt của người dùng. Sau khi đăng nhập thành công, bạn sẽ trả về cho Google một mã truy cập dài hạn. Mã truy cập này hiện được đưa vào mọi yêu cầu gửi từ Google.

Trong quy trình sử dụng mã uỷ quyền, bạn cần có hai điểm cuối:

  • Điểm cuối uỷ quyền sẽ hiển thị giao diện người dùng đăng nhập cho những người dùng chưa đăng nhập. Điểm cuối uỷ quyền cũng tạo một mã uỷ quyền ngắn hạn để ghi lại sự đồng ý của người dùng đối với quyền truy cập được yêu cầu.

  • Điểm cuối trao đổi mã thông báo chịu trách nhiệm cho hai loại trao đổi:

    1. Trao đổi mã uỷ quyền để lấy mã làm mới dài hạn và mã truy cập ngắn hạn. Quá trình trao đổi này diễn ra khi người dùng thực hiện quy trình liên kết tài khoản.
    2. Trao đổi mã làm mới dài hạn để lấy mã truy cập ngắn hạn. Quá trình trao đổi này diễn ra khi Google cần một mã truy cập mới vì mã truy cập hiện tại đã hết hạn.

Chọn quy trình OAuth 2.0

Mặc dù luồng cấp quyền trực tiếp dễ triển khai hơn, nhưng Google khuyên bạn không nên đặt thời gian hết hạn cho mã truy cập do luồng cấp quyền trực tiếp cấp. Lý do là vì người dùng buộc phải liên kết lại tài khoản của họ sau khi mã thông báo hết hạn với quy trình ngầm định. Nếu bạn cần đặt thời gian hết hạn cho mã thông báo vì lý do bảo mật, thì bạn nên sử dụng quy trình sử dụng mã uỷ quyền.

Hướng dẫn thiết kế

Phần này mô tả các yêu cầu và đề xuất về thiết kế cho màn hình người dùng mà bạn lưu trữ cho các quy trình liên kết OAuth. Sau khi ứng dụng của Google gọi, nền tảng của bạn sẽ hiển thị trang đăng nhập vào Google và màn hình yêu cầu sự đồng ý liên kết tài khoản cho người dùng. Người dùng sẽ được chuyển hướng trở lại ứng dụng của Google sau khi đồng ý liên kết tài khoản.

Hình này minh hoạ các bước để người dùng liên kết Tài khoản Google của họ với hệ thống xác thực của bạn. Ảnh chụp màn hình đầu tiên cho thấy hoạt động liên kết do người dùng bắt đầu từ nền tảng của bạn. Hình ảnh thứ hai cho thấy người dùng đăng nhập vào Google, trong khi hình ảnh thứ ba cho thấy sự đồng ý của người dùng và xác nhận về việc liên kết Tài khoản Google của họ với ứng dụng của bạn. Ảnh chụp màn hình cuối cùng cho thấy một tài khoản người dùng đã liên kết thành công trong ứng dụng Google.
Hình 1. Màn hình đăng nhập vào Google và màn hình yêu cầu sự đồng ý liên kết tài khoản của người dùng.

Yêu cầu

  1. Bạn phải thông báo rằng tài khoản của người dùng sẽ được liên kết với Google, không phải một sản phẩm cụ thể của Google như Google Home hoặc Trợ lý Google.

Đề xuất

Bạn nên làm như sau:

  1. Hiển thị Chính sách quyền riêng tư của Google. Đưa đường liên kết đến Chính sách quyền riêng tư của Google trên màn hình xin phép.

  2. Dữ liệu sẽ được chia sẻ. Sử dụng ngôn ngữ rõ ràng và súc tích để cho người dùng biết Google yêu cầu dữ liệu nào của họ và lý do.

  3. Lời kêu gọi hành động rõ ràng. Nêu rõ lời kêu gọi hành động trên màn hình yêu cầu sự đồng ý, chẳng hạn như "Đồng ý và liên kết". Lý do là vì người dùng cần hiểu rõ dữ liệu mà họ phải chia sẻ với Google để liên kết tài khoản.

  4. Khả năng huỷ. Cung cấp cho người dùng một cách để quay lại hoặc huỷ nếu họ chọn không liên kết.

  5. Quy trình đăng nhập rõ ràng. Đảm bảo người dùng có phương thức rõ ràng để đăng nhập vào Tài khoản Google của họ, chẳng hạn như các trường nhập tên người dùng và mật khẩu hoặc Đăng nhập bằng Google.

  6. Khả năng huỷ liên kết. Cung cấp cơ chế để người dùng huỷ liên kết, chẳng hạn như URL đến phần cài đặt tài khoản của họ trên nền tảng của bạn. Ngoài ra, bạn có thể đưa đường liên kết đến Tài khoản Google để người dùng có thể quản lý tài khoản được liên kết của họ.

  7. Khả năng thay đổi tài khoản người dùng. Đề xuất một phương thức để người dùng chuyển đổi tài khoản. Điều này đặc biệt hữu ích nếu người dùng có xu hướng có nhiều tài khoản.

    • Nếu người dùng phải đóng màn hình xin phép để chuyển đổi tài khoản, hãy gửi lỗi có thể khôi phục đến Google để người dùng có thể đăng nhập vào tài khoản đã chọn bằng liên kết OAuth và quy trình luồng cấp quyền trực tiếp.

  8. Đưa logo của bạn vào. Hiển thị logo công ty của bạn trên màn hình xin phép. Sử dụng hướng dẫn về kiểu dáng để đặt logo của bạn. Nếu bạn muốn hoặc cần hiển thị cả logo của Google, hãy xem Logo và nhãn hiệu.

Tạo dự án

Cách tạo dự án để sử dụng tính năng liên kết tài khoản:

  1. Chuyển đến Google API Console.
  2. Nhấp vào Tạo dự án.
  3. Nhập tên hoặc chấp nhận tên được đề xuất.
  4. Xác nhận hoặc chỉnh sửa mọi trường còn lại.
  5. Nhấp vào Tạo.

Cách xem mã dự án:

  1. Chuyển đến Google API Console.
  2. Tìm dự án của bạn trong bảng trên trang đích. Mã dự án xuất hiện trong cột Mã.

Quy trình liên kết Tài khoản Google bao gồm một màn hình xin phép cho người dùng biết ứng dụng đang yêu cầu quyền truy cập vào dữ liệu của họ, loại dữ liệu mà ứng dụng đang yêu cầu và các điều khoản áp dụng. Bạn cần định cấu hình màn hình xin phép bằng OAuth trước khi tạo mã ứng dụng khách Google API.

  1. Mở trang màn hình xin phép bằng OAuth của Google API Console.
  2. Nếu được nhắc, hãy chọn dự án mà bạn vừa tạo.

  3. Trên trang "Màn hình xin phép bằng OAuth", hãy điền thông tin vào biểu mẫu rồi nhấp vào nút “Lưu”.

    Tên ứng dụng: Tên của ứng dụng yêu cầu sự đồng ý. Tên này phải phản ánh chính xác ứng dụng của bạn và nhất quán với tên ứng dụng mà người dùng thấy ở những nơi khác. Tên ứng dụng sẽ xuất hiện trên màn hình xin phép Liên kết tài khoản.

    Biểu trưng ứng dụng: Một hình ảnh trên màn hình xin phép sẽ giúp người dùng nhận ra ứng dụng của bạn. Biểu trưng này xuất hiện trên màn hình xin phép liên kết tài khoản và trên phần cài đặt tài khoản

    Email hỗ trợ: Để người dùng liên hệ với bạn khi có thắc mắc về sự đồng ý của họ.

    Phạm vi cho các API của Google: Phạm vi cho phép ứng dụng của bạn truy cập vào dữ liệu Google riêng tư của người dùng. Đối với trường hợp sử dụng liên kết Tài khoản Google, phạm vi mặc định (email, hồ sơ, OpenID) là đủ, bạn không cần thêm bất kỳ phạm vi nhạy cảm nào. Thông thường, bạn nên yêu cầu các phạm vi theo từng bước, tại thời điểm cần có quyền truy cập, thay vì yêu cầu trước. Tìm hiểu thêm.

    Miền được uỷ quyền: Để bảo vệ bạn và người dùng, Google chỉ cho phép những ứng dụng xác thực bằng OAuth sử dụng Miền được uỷ quyền. Đường liên kết đến các ứng dụng của bạn phải được lưu trữ trên Miền được uỷ quyền. Tìm hiểu thêm.

    Đường liên kết đến trang chủ của ứng dụng: Trang chủ của ứng dụng. Phải được lưu trữ trên một Miền được uỷ quyền.

    Đường liên kết đến Chính sách quyền riêng tư của ứng dụng: Xuất hiện trên màn hình xin phép Liên kết với Tài khoản Google. Phải được lưu trữ trên một Miền được uỷ quyền.

    Đường liên kết đến Điều khoản dịch vụ của ứng dụng (Không bắt buộc): Phải được lưu trữ trên một Miền được uỷ quyền.

    Hình 1 Màn hình đồng ý liên kết Tài khoản Google cho một Ứng dụng giả định, Tunery

  4. Kiểm tra "Trạng thái xác minh". Nếu ứng dụng của bạn cần xác minh, hãy nhấp vào nút "Gửi để xác minh" để gửi ứng dụng của bạn đi xác minh. Hãy tham khảo các yêu cầu xác minh OAuth để biết thông tin chi tiết.

Triển khai máy chủ OAuth

Xác thực quá trình triển khai

Bạn có thể xác thực việc triển khai bằng cách sử dụng công cụ OAuth 2.0 Playground.

Trong công cụ này, hãy thực hiện các bước sau:

  1. Nhấp vào Configuration để mở cửa sổ OAuth 2.0 Configuration (Cấu hình OAuth 2.0).
  2. Trong trường OAuth flow (Quy trình OAuth), hãy chọn Client-side (Phía máy khách).
  3. Trong trường OAuth Endpoints (Điểm cuối OAuth), hãy chọn Custom (Tuỳ chỉnh).
  4. Chỉ định điểm cuối OAuth 2.0 và mã ứng dụng khách mà bạn đã chỉ định cho Google trong các trường tương ứng.
  5. Trong phần Step 1 (Bước 1), đừng chọn phạm vi nào của Google. Thay vào đó, hãy để trống trường này hoặc nhập một phạm vi hợp lệ cho máy chủ của bạn (hoặc một chuỗi tuỳ ý nếu bạn không sử dụng phạm vi OAuth). Khi hoàn tất, hãy nhấp vào Authorize APIs (Cấp quyền cho API).
  6. Trong phần Step 2 (Bước 2) và Step 3 (Bước 3), hãy thực hiện quy trình OAuth 2.0 và xác minh rằng mỗi bước đều hoạt động như dự kiến.

Bạn có thể xác thực việc triển khai bằng cách sử dụng công cụ Google Account Linking Demo.

Trong công cụ này, hãy thực hiện các bước sau:

  1. Nhấp vào nút Sign in with Google (Đăng nhập bằng Google).
  2. Chọn tài khoản mà bạn muốn liên kết.
  3. Nhập mã dịch vụ.
  4. Bạn có thể nhập một hoặc nhiều phạm vi mà bạn sẽ yêu cầu quyền truy cập.
  5. Nhấp vào Start Demo (Bắt đầu bản minh hoạ).
  6. Khi được nhắc, hãy xác nhận rằng bạn có thể đồng ý và từ chối yêu cầu liên kết.
  7. Xác nhận rằng bạn được chuyển hướng đến nền tảng của mình.