使用 OAuth 連結 Google 帳戶

帳戶連結會使用業界標準的 OAuth 2.0 隱含和授權碼流程。您的服務必須支援符合 OAuth 2.0 標準的授權和權杖交換端點。

在隱含流程中，Google 會在使用者的瀏覽器中開啟授權端點。成功登入後，會將長期存取權杖傳回 Google。這個存取權杖現在已納入 Google 發出的每項要求。

在授權碼流程中，您需要兩個端點：

  • 授權端點，會為尚未登入的使用者顯示登入 UI。授權端點也會建立短效授權碼，記錄使用者對所要求存取權的同意聲明。

  • 權杖交換端點，負責兩種交換：

    1. 交換授權碼用於長期更新權杖和短期存取權杖。使用者進行帳戶連結流程時，就會發生這個交換。
    2. 這個外掛程式能使用長期更新權杖做為短期存取權杖。 如果 Google 需要新的存取權存證，因為舊的存證已過期，就會發生此交換。

選擇 OAuth 2.0 流程

雖然隱含流程的實作方式較簡單，但 Google 建議隱含流程發出的存取權杖永遠不會過期。這是因為權杖過期後，系統必須要求使用者再次連結帳戶。如果您基於安全性考量而需要代碼到期，強烈建議您改用授權程式碼流程。

設計指南

本節說明針對 OAuth 連結流程所託管使用者畫面的設計需求和建議。Google 的應用程式呼叫後，您的平台會向使用者顯示登入 Google 頁面和帳戶連結同意畫面。使用者同意連結帳戶後，系統會將他們導向 Google 的應用程式。

這張圖片顯示使用者將 Google 帳戶連結至驗證系統的步驟。第一張螢幕截圖顯示使用者從平台啟動的連結。第二張圖片顯示使用者登入 Google，第三張圖片則顯示使用者同意並確認將 Google 帳戶連結至您的應用程式。最後一張螢幕截圖顯示 Google 應用程式中已成功連結使用者帳戶。
圖 1. 帳戶連結使用者登入 Google 和同意畫面。

需求條件

  1. 您必須說明使用者的帳戶將連結至 Google，而不是 Google Home 或 Google 助理等特定 Google 產品。

建議

建議您採取以下做法：

  1. 顯示《Google 隱私權政策》。在同意畫面加入 Google 隱私權政策連結。

  2. 要共用的資料。使用簡潔明瞭的表達方式，向使用者說明 Google 需要他們的哪些資料，以及原因。

  3. 明確的行動號召。在同意聲明畫面上明確列出行動號召，例如「同意並連結」。這是因為使用者需要瞭解自己必須與 Google 分享哪些資料，才能連結帳戶。

  4. 可取消訂閱。如果使用者選擇不連結，請提供返回或取消的選項。

  5. 清除登入程序。請確認使用者有明確的方法登入 Google 帳戶，例如使用者名稱和密碼欄位，或使用 Google 帳戶登入。

  6. 可取消連結。提供使用者解除連結的機制，例如平台上帳戶設定的網址。或者，您也可以加入 Google 帳戶的連結，讓使用者能管理已連結帳戶。

  7. 變更使用者帳戶的功能。建議使用者切換帳戶的方法。如果使用者傾向擁有多個帳戶，這項功能就特別實用。

    • 如果使用者必須關閉同意畫面才能切換帳戶，請將可復原的錯誤傳送給 Google，方便使用者透過 OAuth 連結和隱含流程登入所需帳戶。

  8. 加入標誌。在同意畫面上顯示公司標誌。 請依照您的樣式規範放置標誌。如果您也想顯示 Google 的標誌，請參閱標誌和商標。

建立專案

如要建立專案以使用帳戶連結，請按照下列步驟操作：

  2. 按一下 [Create Project]。
  3. 輸入名稱或接受系統產生的建議。
  4. 確認或編輯其餘欄位。
  5. 點選「建立」。

如要查看專案 ID，請按照下列步驟操作：

  2. 在到達網頁的表格中找出專案。專案 ID 會顯示在「ID」欄中。

Google 帳戶連結程序會顯示同意畫面，告知使用者要求存取資料的應用程式、要求存取的資料類型，以及適用條款。您必須先設定 OAuth 同意畫面，才能產生 Google API 用戶端 ID。

  1. 開啟 Google API 控制台的「OAuth 同意畫面」頁面。
  2. 如果出現提示，請選取您剛建立的專案。

  3. 在「OAuth 同意畫面」頁面中填寫表單，然後按一下「儲存」按鈕。

    應用程式名稱：要求同意的應用程式名稱。名稱應如實反映應用程式，且與使用者在其他地方看到的應用程式名稱一致。應用程式名稱會顯示在帳戶連結同意畫面上。

    應用程式標誌：同意畫面上的圖片，可協助使用者識別您的應用程式。標誌會顯示在帳戶連結同意畫面和帳戶設定頁面。

    支援電子郵件地址：方便使用者與您聯絡，洽詢同意聲明相關事宜。

    Google API 的範圍：範圍可讓應用程式存取使用者的私人 Google 資料。如果是 Google 帳戶連結用途，預設範圍 (電子郵件、個人資料、openid) 就已足夠，不需要新增任何敏感範圍。一般而言，最佳做法是在需要存取權時，逐步要求範圍，而非預先要求。瞭解詳情。

    授權網域：為保障您與使用者的安全，Google 只允許應用程式透過 OAuth 驗證，使用授權網域。應用程式的連結必須託管於授權網域。瞭解詳情。

    應用程式首頁連結：應用程式的首頁。必須託管在授權網域。

    應用程式隱私權政策連結：顯示在 Google 帳戶連結同意畫面上。必須託管在授權網域。

    應用程式服務條款連結 (選填)：必須代管於授權網域。

    圖 1. 虛構應用程式 Tunery 的 Google 帳戶連結同意畫面

  4. 查看「驗證狀態」，如果應用程式需要驗證，請點按「送交驗證」按鈕，將應用程式送交驗證。詳情請參閱 OAuth 驗證規定。

實作 OAuth 伺服器

为了支持 OAuth 2.0 隐式流，您的服务会进行授权 端点。此端点负责进行身份验证， 就数据访问征得用户同意。授权端点 向尚未登录的用户显示登录界面，并记录 同意所请求的访问。

当 Google 应用需要调用您的某项服务获得授权的 API 时， Google 使用此端点从您的用户处获取调用这些 API 的权限 。

由 Google 发起的典型 OAuth 2.0 隐式流会话具有以下特征： 以下流程：

  1. Google 会在用户的浏览器中打开您的授权端点。通过 如果用户尚未登录，则直接登录，然后授予 Google 以下权限： 访问您的 API 访问其数据（如果尚未授权）。
  2. 您的服务会创建一个访问令牌并将其返回给 Google。为此，请将用户的浏览器重定向回 Google，并提供相应的访问权限 令牌。
  3. Google 调用您的服务的 API，并附加带有 。您的服务会验证访问令牌是否向 Google 授予 访问 API 的授权，然后完成 API 调用。

处理授权请求

当 Google 应用需要通过 OAuth 2.0 执行账号关联时 隐式流程，Google 会通过 请求，其中包含以下参数：

授权端点参数
client_id 您分配给 Google 的客户 ID。
redirect_uri 此请求的响应发送到的网址。
state 将一个在 重定向 URI。
response_type 要在响应中返回的值的类型。对于 OAuth 2.0 隐式 则响应类型始终为 token。
user_locale “Google 账号语言设置” RFC5646 用于将您的内容本地化为用户首选语言的格式。

例如，如果您的授权端点位于 https://myservice.example.com/auth 时，请求可能如下所示：

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token&user_locale=LOCALE

为了让授权端点能够处理登录请求，请执行以下操作 步骤：

  1. 验证 client_id 和 redirect_uri 值， 防止向意外或配置错误的客户端应用授予访问权限：

    • 确认 client_id 是否与您的客户端 ID 匹配 分配给 Google。
    • 确认 redirect_uri 指定的网址 参数的格式如下： 
      https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
https://oauth-redirect-sandbox.googleusercontent.com/r/YOUR_PROJECT_ID

  2. 检查用户是否已登录您的服务。如果用户未登录 中，完成服务的登录或注册流程。

  3. 生成访问令牌，以供 Google 用于访问您的 API。通过 访问令牌可以是任何字符串值，但必须唯一地表示 令牌对应的用户和客户端，且不得被猜到。

  4. 发送 HTTP 响应，将用户浏览器重定向到相应网址 由 redirect_uri 参数指定。添加所有 以下参数：

    • access_token：您刚刚生成的访问令牌
    • token_type：字符串 bearer
    • state：原始状态的未修改状态值 请求

    以下是生成的网址示例： 

    https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING

Google 的 OAuth 2.0 重定向处理程序收到访问令牌并确认 state 值没有更改。在 Google 获得 访问令牌，则 Google 会将该令牌附加到后续调用 服务 API

处理 userinfo 请求

userinfo 端点是受 OAuth 2.0 保护的资源，会返回关联用户的声明。实现和托管 userinfo 端点是可选的，但以下用例除外：

从您的令牌端点成功检索到访问令牌后，Google 会向您的 userinfo 端点发送请求，以检索关联用户的基本个人资料信息。

userinfo 端点请求标头
Authorization header Bearer 类型的访问令牌。

例如，如果您的 userinfo 端点可通过 https://myservice.example.com/userinfo 时，请求可能如下所示：

GET /userinfo HTTP/1.1
Host: myservice.example.com
Authorization: Bearer ACCESS_TOKEN

为了让 userinfo 端点能够处理请求，请执行以下步骤：

  1. 从 Authorization 标头中提取访问令牌，并返回与访问令牌相关联的用户的信息。
  2. 如果访问令牌无效，则使用 WWW-Authenticate 响应标头返回 HTTP 401 Unauthorized 错误。下面是一个 userinfo 错误响应示例： 
    HTTP/1.1 401 Unauthorized
WWW-Authenticate: error="invalid_token",
error_description="The Access Token expired"
    如果在关联过程中返回 401 未经授权错误或任何其他失败的错误响应，该错误将无法恢复，检索到的令牌将被舍弃，并且用户必须重新开始关联流程。

  3. 如果访问令牌有效，则返回 HTTPS 正文中包含以下 JSON 对象的 HTTP 200 响应 回答：

    {
"sub": "USER_UUID",
"email": "EMAIL_ADDRESS",
"given_name": "FIRST_NAME",
"family_name": "LAST_NAME",
"name": "FULL_NAME",
"picture": "PROFILE_PICTURE",
}
     如果您的 userinfo 端点返回 HTTP 200 成功响应，则系统会针对用户的 Google 账号注册检索到的令牌和声明。

    userinfo 端点响应
    sub 系统中用于识别用户的唯一 ID。
    email 用户的电子邮件地址。
    given_name 可选：用户的名字。
    family_name 可选：用户的姓氏。
    name 可选：用户的全名。
    picture 可选：用户的个人资料照片。

驗證實作

您可以使用 OAuth 2.0 Playground 工具验证您的实现。

在该工具中，执行以下步骤：

  1. 点击配置 以打开 OAuth 2.0 配置窗口。
  2. 在 OAuth flow 字段中，选择 Client-side（客户端）。
  3. 在 OAuth 端点字段中，选择自定义。
  4. 在相应字段中指定您的 OAuth 2.0 端点和您分配给 Google 的客户端 ID。
  5. 在第 1 步部分，不要选择任何 Google 范围。请将此字段留空或输入对服务器有效的范围（如果您不使用 OAuth 范围，则可以输入任意字符串）。完成后，点击授权 API。
  6. 在 Step 2 和 Step 3 部分中，完成 OAuth 2.0 流程，并验证每个步骤是否按预期运行。

您可以使用 Google 账号关联演示版工具验证您的实现。

在该工具中，执行以下步骤：

  1. 点击使用 Google 账号登录按钮。
  2. 选择您要关联的账号。
  3. 输入服务 ID。
  4. （可选）输入您要请求访问权限的一个或多个范围。
  5. 点击开始演示。
  6. 当系统提示时，请确认您同意或拒绝关联请求。
  7. 确认您已被重定向到您的平台。