Vinculação simplificada com OAuth e Fazer login com o Google

Visão geral

O Fazer login com o Google simplificado baseado em OAuth adiciona o Fazer login com o Google além da vinculação do OAuth. Isso oferece uma experiência de vinculação perfeita para os usuários do Google e também permite a criação de contas, o que permite que o usuário crie uma nova conta no seu serviço usando a Conta do Google.

Para vincular contas com o OAuth e o Fazer login com o Google, siga estas etapas gerais:

  1. Primeiro, peça ao usuário para dar consentimento de acesso ao perfil do Google dele.
  2. Use as informações no perfil para verificar se a conta de usuário existe.
  3. Para usuários atuais, vincule as contas.
  4. Se você não encontrar uma correspondência para o usuário do Google no seu sistema de autenticação, valide o token de ID recebido do Google. Em seguida, você pode criar um usuário com base nas informações do perfil contidas no token de ID.
Esta figura mostra as etapas para um usuário vincular a Conta do Google usando o fluxo simplificado de vinculação. A primeira captura de tela mostra como um usuário pode selecionar seu app para vinculação. A segunda captura de tela permite que o usuário confirme se ele tem ou não uma conta no seu serviço. A terceira captura de tela permite que o usuário selecione a Conta do Google que quer vincular. A quarta captura de tela mostra a confirmação da vinculação da Conta do Google ao seu app. A quinta captura de tela mostra uma conta de usuário vinculada com sucesso no Google app.
Vinculação de contas no smartphone de um usuário com a vinculação simplificada

Figura 1. Vinculação de conta no smartphone de um usuário com a vinculação simplificada

Vinculação simplificada: fluxo do OAuth + Fazer login com o Google

O diagrama de sequência a seguir detalha as interações entre o usuário, o Google e seu endpoint de troca de tokens para vinculação simplificada.

Usuário App do Google / Servidor Seu token Endpoint de troca Sua API 1. O usuário inicia a vinculação 2. Solicitar o recurso Fazer login com o Google 3. Fazer login com o Google 4. check intent (JWT Assertion) 5. account_found: true/false If account found: 6. get intent If no account: 6. create intent 7. access_token, refresh_token 8. Armazenar tokens de usuário 9. Acessar recursos do usuário
Figura 2. A sequência de eventos no fluxo de vinculação simplificada.

Funções e responsabilidades

A tabela a seguir define as funções e responsabilidades dos participantes no fluxo de vinculação simplificada.

Ator / componente Função na GAL Responsabilidades
App / servidor do Google Cliente OAuth Obtém o consentimento do usuário para o recurso Fazer login com o Google, transmite declarações de identidade (JWT) ao seu servidor e armazena com segurança os tokens resultantes.
Seu endpoint de troca de token Provedor de identidade / servidor de autorização Valida declarações de identidade, verifica se há contas, processa os intents de vinculação de contas (check, get, create) e emite tokens com base nos intents solicitados.
Sua API de serviço Servidor de recursos Fornece acesso aos dados do usuário quando um token de acesso válido é apresentado.

Requisitos para a vinculação simplificada

Lógica de decisão para vinculação simplificada

A lógica a seguir determina como as intents são chamadas durante o fluxo de vinculação simplificada:

  1. O usuário tem uma conta no seu sistema de autenticação? (O usuário decide selecionando SIM ou NÃO)
    1. SIM : o usuário usa o e-mail associado à Conta do Google para fazer login na sua plataforma? (O usuário decide selecionando SIM ou NÃO)
      1. SIM : o usuário tem uma conta correspondente no seu sistema de autenticação? (check intent é chamado para confirmar)
        1. SIM : get intent é chamado e a conta é vinculada se a intent de recebimento for retornada com sucesso.
        2. NÃO : Criar conta? (O usuário decide selecionando SIM ou NÃO)
          1. SIM : create intent é chamado e a conta é vinculada se a intent de criação for retornada com sucesso.
          2. NÃO : o fluxo de vinculação do OAuth é acionado, o usuário é direcionado ao navegador e tem a opção de vincular com um e-mail diferente.
      2. NÃO : o fluxo de vinculação do OAuth é acionado, o usuário é direcionado ao navegador e tem a opção de vincular com um e-mail diferente.
    2. NÃO : o usuário tem uma conta correspondente no seu sistema de autenticação? (check intent é chamado para confirmar)
      1. SIM : get intent é chamado e a conta é vinculada se a intent de recebimento for retornada com sucesso.
      2. NÃO : create intent é chamado e a conta é vinculada se a intent de criação for retornada com sucesso.

Receita de implementação

Seu endpoint de troca de token precisa implementar as intents check, get e create para oferecer suporte à vinculação simplificada.

Siga estas etapas para processar as diferentes intents:

Verificar se já existe uma conta de usuário (finalidade de verificação)

O Google chama o endpoint de troca de tokens para verificar se o usuário do Google existe no seu sistema. Para detalhes dos parâmetros, consulte Finalidades de vinculação simplificada.

Receita de implementação

Para processar a finalidade check, faça o seguinte:

  1. Validar a solicitação:

    • Verifique client_id, client_secret e grant_type (precisa ser urn:ietf:params:oauth:grant-type:jwt-bearer).
    • Valide o assertion (JWT) usando os critérios em Validação de JWT.

  2. Pesquisar usuário:

    • Verifique se o ID da Conta do Google (sub) ou o endereço de e-mail no JWT corresponde a um usuário no seu banco de dados.

  3. Responder:

    • Se encontrado: retorne HTTP 200 OK com {"account_found": "true"}.
    • Se não encontrado: retorne HTTP 404 Not Found com {"account_found": "false"}.

处理自动关联（获取 intent）

如果该账号存在，Google 会使用 intent=get 调用您的端点以检索令牌。如需了解参数详情，请参阅简化的关联 intent。

实施方案

如需处理 get intent，请执行以下操作：

  1. 验证请求：

    • 验证 client_id、client_secret 和 grant_type。
    • 验证 assertion (JWT)。

  2. 查找用户：

    • 使用 sub 或 email 声明验证用户是否存在。

  3. 回应：

    • 如果成功：在 JSON 响应 (HTTP 200 OK) 中生成并返回 access_token、refresh_token 和 expires_in。
    • 如果关联失败：返回 HTTP 401 Unauthorized，其中包含 {"error": "linking_error"} 和可选的 login_hint，以便回退到标准 OAuth 关联。

使用“使用 Google 账号登录”功能处理账号创建事宜（创建 intent）

如果不存在任何账号，Google 会使用 intent=create 调用您的端点，以创建新用户。如需了解参数详情，请参阅 Streamlined Linking Intents。

实现方案

如需处理 create intent，请执行以下操作：

  1. 验证请求：

    • 验证 client_id、client_secret 和 grant_type。
    • 验证 assertion (JWT)。

  2. 验证用户不存在：

    • 检查您的数据库中是否已存在 sub 或 email。
    • 如果用户 存在，请返回 HTTP 401 Unauthorized，并使用 {"error": "linking_error", "login_hint": "USER_EMAIL"} 强制回退到 OAuth 关联。

  3. 创建账号：

    • 使用 JWT 中的 sub、email、name 和 picture 声明创建新的用户记录。

  4. 回应：

    • 在 JSON 响应 (HTTP 200 OK) 中生成并返回令牌。

Receber seu ID do cliente da API do Google

Você precisará fornecer seu ID do cliente da API do Google durante o processo de registro da vinculação de contas. Para receber o ID do cliente da API usando o projeto criado ao concluir as etapas de vinculação do OAuth. Para fazer isso, siga estas etapas:

  1. Acesse a página "Clientes".

  2. Crie ou selecione um projeto das APIs do Google.

    Se o projeto não tiver um ID do cliente para o tipo de aplicativo da Web, clique em Criar cliente para criar um. Inclua o domínio do seu site na caixa Origens JavaScript autorizadas. Ao realizar testes ou desenvolvimento local, adicione http://localhost e http://localhost:<port_number> ao campo Origens JavaScript autorizadas.

Validar sua implementação

您可以使用 OAuth 2.0 Playground 工具验证您的实现。

在该工具中，执行以下步骤：

  1. 点击配置 以打开“OAuth 2.0 配置”窗口。
  2. 在 OAuth flow（OAuth 流程）字段中，选择 Client-side（客户端）。
  3. 在 OAuth Endpoints 字段中，选择 Custom。
  4. 在相应字段中指定您的 OAuth 2.0 端点以及您分配给 Google 的客户端 ID。
  5. 在第 1 步部分中，请勿选择任何 Google 范围。请将此字段留空，或输入适用于您服务器的范围（如果您不使用 OAuth 范围，则输入任意字符串）。完成后，点击 Authorize APIs。
  6. 在第 2 步和第 3 步部分中，完成 OAuth 2.0 流程，并验证每个步骤是否按预期运行。

您可以使用 Google 账号关联演示工具验证您的实现。

在该工具中，执行以下步骤：

  1. 点击使用 Google 账号登录按钮。
  2. 选择您要关联的账号。
  3. 输入服务 ID。
  4. （可选）输入您将请求访问的一个或多个范围。
  5. 点击开始演示。
  6. 当系统提示时，请确认您可以同意或拒绝关联请求。
  7. 确认您已重定向到相应平台。