OAuth による Google アカウントのリンク

アカウントは、業界標準の OAuth 2.0 の インプリシット フローと 認可コード フローを使用してリンクされます。

暗黙的フローでは、Google がデベロッパーのブラウザで認可エンドポイントを開きます。ログインに成功したら、認可エンドポイントから長期のアクセス トークンを Google に返します。このアクセス トークンは、Google から送信されるすべてのリクエストに含まれます。

認証コードフローでは、次の 2 つのエンドポイントが必要になります。

• 認可エンドポイント。ログインしていないユーザーにログイン用の UI を表示します。認可エンドポイントは、リクエストされたアクセスに対するユーザーの同意を記録するために、有効期間の短い認可コードも作成します。

• トークン交換エンドポイント。次の 2 種類の交換を行います。

  1. 長期の更新トークンと短期のアクセス トークンの認可コードを交換します。この処理は、ユーザーがアカウントのリンクフローを行ったときに発生します。
  2. 長期の更新トークンを短期のアクセス トークンと交換します。この処理は、トークンが期限切れになり、新しいアクセス トークンが必要になった場合に発生します。

OAuth 2.0 フローを選択する

暗黙的フローの実装は簡単ですが、暗黙的フローによって発行されたアクセス トークンには有効期限を設定しないことをおすすめします。これは、暗黙的フローでトークンが期限切れになると、ユーザーがアカウントを再度リンクしなければならないためです。セキュリティ上の理由からトークンに有効期限を設定する必要がある場合は、代わりに認可コードフローを使用することを強くおすすめします。

設計ガイドライン

このセクションでは、OAuth リンクフロー用にホストするユーザー画面の設計要件と推奨事項について説明します。Google のアプリから呼び出されると、プラットフォームはユーザーに Google にログインするページとアカウントのリンクに関する同意画面を表示します。アカウントのリンクに同意すると、ユーザーは Google のアプリに戻されます。

要件

1. ユーザーのアカウントは、Google Home や Google アシスタントなどの特定の Google プロダクトではなく、Google にリンクされることを伝える必要があります。

推奨事項

次のことをおすすめします。

1. Google のプライバシー ポリシーを表示する。同意画面に Google のプライバシー ポリシーへのリンクを含めます。

2. 共有するデータ。明確で簡潔な表現を使用して、Google に必要なデータとその理由をユーザーに伝えます。

3. 行動を促す明確なフレーズ同意画面に「同意してリンク」など、わかりやすい行動を促すフレーズを表示します。これは、アカウントをリンクするために Google と共有する必要があるデータをユーザーが理解する必要があるためです。

4. キャンセルできること。ユーザーがリンクしないことを選択した場合に、ユーザーが戻るまたはキャンセルできる方法を提供します。

5. ログイン プロセスを明確にする。ユーザーが Google アカウントにログインするための明確な方法（ユーザー名とパスワードのフィールド、Google でログインなど）があることを確認します。

6. リンクを解除できること。ユーザーがリンクを解除するためのメカニズム（プラットフォームのアカウント設定への URL など）を提供します。または、ユーザーがリンクされたアカウントを管理できる Google アカウントへのリンクを含めることもできます。

7. ユーザー アカウントを変更する機能。ユーザーがアカウントを切り替える方法を提案します。これは、ユーザーが複数のアカウントを持っている場合に特に便利です。

   • ユーザーがアカウントを切り替えるために同意画面を閉じる必要がある場合は、回復可能なエラーを Google に送信して、ユーザーが OAuth リンクと暗黙的フローを使用して目的のアカウントにログインできるようにします。

8. ロゴを含めます。同意画面に会社のロゴを表示します。 スタイル ガイドラインに沿ってロゴを配置します。Google のロゴも表示する場合は、ロゴと商標をご覧ください。

プロジェクトを作成する

アカウント リンクを使用するプロジェクトを作成するには:

1. Google API コンソールに移動します。
2. [プロジェクトの作成] をクリックします。
3. 名前を入力するか、生成された候補を受け入れます。
4. 残りのフィールドを確認または編集します。
5. [作成] をクリックします。

プロジェクト ID を表示するには:

1. Google API コンソールに移動します。
2. ランディング ページの表でプロジェクトを探します。プロジェクト ID は [ID] 列に表示されます。

OAuth 同意画面を構成する

Google アカウントのリンク プロセスには同意画面が含まれています。この画面では、データへのアクセスをリクエストしているアプリケーション、リクエストしているデータの種類、適用される規約がユーザーに通知されます。Google API クライアント ID を生成する前に、OAuth 同意画面を構成する必要があります。

1. Google API コンソールの OAuth 同意画面 ページを開きます。
2. プロンプトが表示されたら、作成したプロジェクトを選択します。

3. [OAuth 同意画面] ページでフォームに入力し、[保存] ボタンをクリックします。

   アプリケーション名: 同意を求めるアプリケーションの名前。名前はアプリケーションを正確に反映し、ユーザーが他の場所で見るアプリケーション名と一致している必要があります。アプリケーション名は、アカウント リンクの同意画面に表示されます。

   アプリケーション ロゴ: 同意画面に表示される画像で、ユーザーがアプリを認識しやすくなります。ロゴは、アカウント リンクの同意画面とアカウント設定に表示されます。

   サポートメール: 同意に関して問い合わせる際に使用します。

   Google API のスコープ: スコープを使用すると、アプリケーションはユーザーの非公開の Google データにアクセスできます。Google アカウントのリンクのユースケースでは、デフォルトのスコープ（email、profile、openid）で十分です。機密性の高いスコープを追加する必要はありません。一般的に、スコープは事前にリクエストするのではなく、アクセスが必要になったときに段階的にリクエストすることが効果的な手法です。詳細

   承認済みドメイン: デベロッパーとユーザーを保護するために、Google では、OAuth を使用して認証するアプリケーションのみに承認済みドメインの使用を許可しています。アプリケーションのリンクは、承認済みドメインでホストする必要があります。詳細

   アプリケーションのホームページへのリンク: アプリケーションのホームページ。承認済みドメインでホストする必要があります。

   アプリケーションのプライバシー ポリシーへのリンク: Google アカウント リンクの同意画面に表示されます。承認済みドメインでホストする必要があります。

   アプリケーションの利用規約へのリンク（省略可）: 承認済みドメインでホストする必要があります。

   

   図 1. 架空のアプリケーション Tunery の Google アカウントのリンクの同意画面

4. [検証ステータス] を確認します。アプリケーションの検証が必要な場合は、[検証のために送信] ボタンを**クリック**して、検証を受けるためにアプリケーションを送信します。詳しくは、OAuth の検証要件をご覧ください。

OAuth サーバーを実装する

授权代码流程的 OAuth 2.0 服务器实现包含两个端点，您的服务通过 HTTPS 提供这两个端点。第一个端点是授权端点，负责查找或征得用户同意以获取数据访问权限。授权端点会向尚未登录的用户显示登录界面，并记录用户对所请求访问权限的同意情况。第二个端点是令牌交换端点，用于获取加密字符串（称为令牌），这些令牌可授权用户访问您的服务。

当 Google 应用需要调用您某项服务的 API 时，Google 会同时使用这些端点来征得用户同意，以便代表用户调用这些 API。

Google 账号关联：OAuth 授权代码流程

以下序列图详细说明了用户、Google 和您服务的端点之间的互动。

角色和职责

下表定义了 Google 账号关联 (GAL) OAuth 流中各个参与者的角色和职责。请注意，在 GAL 中，Google 充当 OAuth 客户端，而您的服务充当身份/服务提供方。

由 Google 发起的 OAuth 2.0 授权代码流程会话具有以下流程：

1. Google 会在用户的浏览器中打开您的授权端点。如果流程是在仅支持语音的设备上针对某项操作启动的，Google 会将执行转移到手机。
2. 用户登录（如果尚未登录），并授予 Google 权限以通过您的 API 访问其数据（如果尚未授予权限）。
3. 您的服务创建授权代码并将其返回给 Google。为此，请将用户的浏览器重定向回 Google，并在请求中附上授权代码。
4. Google 会将授权代码发送到您的令牌交换端点，该端点会验证代码的真实性，并返回访问令牌和刷新令牌。访问令牌是一种短期有效的令牌，您的服务会将其作为凭据来接受，以便访问 API。刷新令牌是一种长期有效的令牌，Google 可以存储并使用它在访问令牌过期时获取新的访问令牌。
5. 用户完成账号关联流程后，Google 发送的每个后续请求都包含一个访问令牌。

处理授权请求

当您需要使用 OAuth 2.0 授权码流程执行账号关联时，Google 会将用户发送到您的授权端点，并发送包含以下参数的请求：

例如，如果您的授权端点位于 https://myservice.example.com/auth，则请求可能如下所示：

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&scope=REQUESTED_SCOPES&response_type=code&user_locale=LOCALE

如需让授权端点处理登录请求，请执行以下步骤：

1. 验证 client_id 是否与您分配给 Google 的客户端 ID 一致，以及 redirect_uri 是否与 Google 为您的服务提供的重定向网址一致。这些检查对于防止向意外或配置错误的客户端应用授予访问权限非常重要。如果您支持多个 OAuth 2.0 流程，还需确认 response_type 是否为 code。
2. 检查用户是否已登录您的服务。如果用户未登录，请完成服务的登录或注册流程。
3. 生成一个授权代码，供 Google 用于访问您的 API。 授权代码可以是任何字符串值，但必须唯一表示用户、令牌所针对的客户端和代码的过期时间，并且不得可猜测。您通常会签发大约 10 分钟后过期的授权码。
4. 确认 redirect_uri 参数指定的网址具有以下格式：

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
     https://oauth-redirect-sandbox.googleusercontent.com/r/YOUR_PROJECT_ID
     

5. 将用户的浏览器重定向到 redirect_uri 参数指定的网址。通过附加 code 和 state 参数进行重定向时，请添加您刚刚生成的授权代码和原始的未修改状态值。以下是生成的网址示例：

   https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID?code=AUTHORIZATION_CODE&state=STATE_STRING

处理令牌交换请求

您服务的令牌交换端点负责处理两种类型的令牌交换：

• 将授权代码交换为访问令牌和刷新令牌
• 将刷新令牌换成访问令牌

令牌交换请求包含以下参数：

将授权代码交换为访问令牌和刷新令牌

用户登录后，您的授权端点会向 Google 返回一个时效很短的授权代码，然后 Google 会向您的令牌交换端点发送请求，以将该授权代码换成访问令牌和刷新令牌。

对于这些请求，grant_type 的值为 authorization_code，code 的值为您之前授予 Google 的授权代码的值。以下是使用授权代码交换访问令牌和刷新令牌的请求示例：

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&grant_type=authorization_code&code=AUTHORIZATION_CODE&redirect_uri=REDIRECT_URI

如需使用授权代码换取访问令牌和刷新令牌，令牌交换端点会通过执行以下步骤来响应 POST 请求：

1. 验证 client_id 是否将请求来源标识为授权来源，以及 client_secret 是否与预期值匹配。
2. 验证授权代码是否有效且未过期，以及请求中指定的客户端 ID 是否与授权代码关联的客户端 ID 相符。
3. 确认 redirect_uri 参数指定的网址与初始授权请求中使用的值完全相同。
4. 如果您无法验证上述所有条件，请返回 HTTP 400 Bad Request 错误，并将 {"error": "invalid_grant"} 作为正文。
5. 否则，使用授权代码中的用户 ID 生成刷新令牌和访问令牌。这些令牌可以是任何字符串值，但必须唯一表示用户和令牌所针对的客户端，并且不得可猜测。对于访问令牌，还要记录令牌的过期时间，该时间通常是在您发放令牌后一小时。刷新令牌不会过期。
6. 在 HTTPS 响应的正文中返回以下 JSON 对象：

   {
   "token_type": "Bearer",
   "access_token": "ACCESS_TOKEN",
   "refresh_token": "REFRESH_TOKEN",
   "expires_in": SECONDS_TO_EXPIRATION
   }

Google 会存储用户的访问令牌和刷新令牌，并记录访问令牌的过期时间。当访问令牌过期时，Google 会使用刷新令牌从您的令牌交换端点获取新的访问令牌。

将刷新令牌换成访问令牌

当访问令牌过期时，Google 会向您的令牌交换端点发送请求，以将刷新令牌换成新的访问令牌。

对于这些请求，grant_type 的值为 refresh_token，而 refresh_token 的值为您之前授予 Google 的刷新令牌的值。以下是将刷新令牌换成访问令牌的请求示例：

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&grant_type=refresh_token&refresh_token=REFRESH_TOKEN

如需将刷新令牌换成访问令牌，令牌交换端点会通过执行以下步骤来响应 POST 请求：

1. 验证 client_id 是否将请求源标识为 Google，以及 client_secret 是否与预期值一致。
2. 验证刷新令牌是否有效，以及请求中指定的客户端 ID 是否与刷新令牌关联的客户端 ID 相符。
3. 如果您无法验证上述所有条件，请返回 HTTP 400 Bad Request 错误，并将 {"error": "invalid_grant"} 作为正文。
4. 否则，请使用刷新令牌中的用户 ID 生成访问令牌。这些令牌可以是任何字符串值，但必须唯一表示用户和令牌所针对的客户端，并且不得可猜测。对于访问令牌，还要记录令牌的过期时间，通常是在您发放令牌后一小时。
5. 在 HTTPS 响应的正文中返回以下 JSON 对象：

   {
   "token_type": "Bearer",
   "access_token": "ACCESS_TOKEN",
   "expires_in": SECONDS_TO_EXPIRATION
   }

处理 userinfo 请求

userinfo 端点是受 OAuth 2.0 保护的资源，会返回关联用户的声明。实现和托管 userinfo 端点是可选的，但以下用例除外：

• 使用 Google One Tap 登录关联的账号。
• Android TV 提供顺畅的订阅体验。

从您的令牌端点成功检索到访问令牌后，Google 会向您的 userinfo 端点发送请求，以检索关联用户的基本个人资料信息。

例如，如果您的 userinfo 端点可通过 https://myservice.example.com/userinfo 时，请求可能如下所示：

GET /userinfo HTTP/1.1
Host: myservice.example.com
Authorization: Bearer ACCESS_TOKEN

为了让 userinfo 端点能够处理请求，请执行以下步骤：

1. 从 Authorization 标头中提取访问令牌，并返回与访问令牌相关联的用户的信息。
2. 如果访问令牌无效，则使用 WWW-Authenticate 响应标头返回 HTTP 401 Unauthorized 错误。下面是一个 userinfo 错误响应示例：

   HTTP/1.1 401 Unauthorized
   WWW-Authenticate: error="invalid_token",
   error_description="The Access Token expired"
   

   如果在关联过程中返回 401 未经授权错误或任何其他失败的错误响应，该错误将无法恢复，检索到的令牌将被舍弃，并且用户必须重新开始关联流程。

3. 如果访问令牌有效，则返回 HTTPS 正文中包含以下 JSON 对象的 HTTP 200 响应 回答：

   {
   "sub": "USER_UUID",
   "email": "EMAIL_ADDRESS",
   "given_name": "FIRST_NAME",
   "family_name": "LAST_NAME",
   "name": "FULL_NAME",
   "picture": "PROFILE_PICTURE",
   }

   如果您的 userinfo 端点返回 HTTP 200 成功响应，则系统会针对用户的 Google 账号注册检索到的令牌和声明。

   userinfo 端点响应
   sub	系统中用于识别用户的唯一 ID。
   email	用户的电子邮件地址。
   given_name	可选：用户的名字。
   family_name	可选：用户的姓氏。
   name	可选：用户的全名。
   picture	可选：用户的个人资料照片。

実装の検証

OAuth 2.0 Playground ツールを使用して、実装を検証できます。

このツールで、次の手順を行います。

1. [構成] settings 設定をクリックして、[OAuth 2.0 構成] ウィンドウを開きます。
2. [OAuth flow] フィールドで、[クライアントサイド] を選択します。
3. [OAuth Endpoints] フィールドで、[Custom] を選択します。
4. 対応するフィールドに、OAuth 2.0 エンドポイントと Google に割り当てたクライアント ID を指定します。
5. [Step 1] セクションで、Google スコープを選択しないでください。代わりに、このフィールドを空白のままにするか、サーバーで有効なスコープを入力します（OAuth スコープを使用しない場合は任意の文字列を入力します）。完了したら、[Authorize APIs] をクリックします。
6. [Step 2] セクションと [Step 3] セクションで、OAuth 2.0 フローを確認し、各ステップが意図したとおりに動作することを確認します。

Google アカウント リンク デモツールを使用して、実装を検証できます。

このツールで、次の手順を行います。

1. [Google でログイン] ボタンをクリックします。
2. リンクするアカウントを選択します。
3. サービス ID を入力します。
4. 必要に応じて、アクセスをリクエストするスコープを 1 つ以上入力します。
5. [Start Demo] をクリックします。
6. 確認のメッセージが表示されたら、リンク リクエストに同意または拒否できることを確認します。
7. プラットフォームにリダイレクトされることを確認します。