Vereinfachte Verknüpfung mit OAuth und „Über Google anmelden“

Übersicht

Mit OAuth-basierter Anmeldung mit Google und vereinfachter Verknüpfung wird die Anmeldung mit Google zusätzlich zur OAuth-Verknüpfung eingeführt. So können Google-Nutzer ihre Konten nahtlos verknüpfen und optional ein Konto erstellen, mit dem sie über ihr Google-Konto einen neuen Account für Ihren Dienst erstellen können.

So verknüpfen Sie Konten mit OAuth und der Anmeldung mit Google:

  1. Bitten Sie den Nutzer zuerst um die Einwilligung zum Zugriff auf sein Google-Profil.
  2. Prüfen Sie anhand der Informationen im Profil, ob das Nutzerkonto vorhanden ist.
  3. Verknüpfen Sie die Konten für bestehende Nutzer.
  4. Wenn Sie im Authentifizierungssystem keine Übereinstimmung für den Google-Nutzer finden, validieren Sie das von Google erhaltene ID-Token. Wenn Ihr Dienst die Kontoerstellung unterstützt, können Sie dann einen Nutzer anhand der im ID-Token enthaltenen Profilinformationen erstellen.
In dieser Abbildung sehen Sie die Schritte, die ein Nutzer ausführen muss, um sein Google-Konto über den vereinfachten Verknüpfungsvorgang zu verknüpfen. Auf dem ersten Screenshot ist zu sehen, wie ein Nutzer Ihre App zum Verknüpfen auswählen kann. Auf dem zweiten Screenshot kann der Nutzer bestätigen, ob er bereits ein Konto für Ihren Dienst hat. Auf dem dritten Screenshot kann der Nutzer das Google-Konto auswählen, das er verknüpfen möchte. Der vierte Screenshot zeigt die Bestätigung für die Verknüpfung des Google-Kontos mit Ihrer App. Der fünfte Screenshot zeigt ein erfolgreich verknüpftes Nutzerkonto in der Google App.
Kontoverknüpfung auf dem Smartphone eines Nutzers mit vereinfachter Verknüpfung

Abbildung 1. Kontoverknüpfung auf dem Smartphone eines Nutzers mit vereinfachter Verknüpfung

Vereinfachte Verknüpfung: OAuth- und Anmeldung mit Google-Vorgang

Das folgende Sequenzdiagramm zeigt die Interaktionen zwischen dem Nutzer, Google und Ihrem Endpunkt für den Tokenaustausch für die vereinfachte Verknüpfung.

Nutzer Google-App / Server Endpunkt für den Tokenaustausch Ihre API 1. Nutzer initiiert Verknüpfung 2. Anmeldung mit Google anfordern 3. Anmeldung mit Google 4. Absicht prüfen (JWT-Assertion) 5. account_found: true/false Wenn Konto gefunden: 6. Absicht abrufen Wenn kein Konto: 6. Absicht erstellen 7. access_token, refresh_token 8. Nutzertokens speichern 9. Auf Nutzerressourcen zugreifen
Abbildung 2. Die Ereignisabfolge im Vorgang für die vereinfachte Verknüpfung.

Rollen und Verantwortlichkeiten

In der folgenden Tabelle sind die Rollen und Verantwortlichkeiten der Akteure im Vorgang für die vereinfachte Verknüpfung definiert.

Akteur / Komponente GAL-Rolle Verantwortlichkeiten
Google-App / Server OAuth-Client Holt die Einwilligung des Nutzers für die Anmeldung mit Google ein, übergibt Identitätsassertions (JWT) an Ihren Server und speichert die resultierenden Tokens sicher.
Endpunkt für den Tokenaustausch Identitätsanbieter / Autorisierungsserver Validiert Identitätsassertions, prüft auf vorhandene Konten, verarbeitet die erforderlichen Absichten für die Kontoverknüpfung (check, get) und die optionale create Absicht und stellt Tokens basierend auf den angeforderten Absichten aus.
Ihre Dienst-API Ressourcenserver Gewährt Zugriff auf Nutzerdaten, wenn ein gültiges Zugriff token vorgelegt wird.

Anforderungen für die vereinfachte Verknüpfung

Entscheidungslogik für die vereinfachte Verknüpfung

Die folgende Logik bestimmt, wie Absichten während des Vorgangs für die vereinfachte Verknüpfung aufgerufen werden:

  1. Hat der Nutzer ein Konto in Ihrem Authentifizierungssystem? (Der Nutzer entscheidet, indem er JA oder NEIN auswählt.)
    1. JA : Meldet sich der Nutzer mit der E‑Mail-Adresse, die mit seinem Google-Konto verknüpft ist, auf Ihrer Plattform an? (Der Nutzer entscheidet, indem er JA oder NEIN auswählt.)
      1. JA : Hat der Nutzer ein entsprechendes Konto in Ihrem Authentifizierungssystem? (check Absicht wird aufgerufen, um dies zu bestätigen)
        1. JA : get Absicht wird aufgerufen und das Konto wird verknüpft, wenn die Absicht `get` erfolgreich zurückgegeben wird.
        2. NEIN : Neues Konto erstellen? (Der Nutzer entscheidet, indem er JA oder NEIN auswählt. Dies ist nur möglich, wenn Ihr Dienst die Kontoerstellung unterstützt.)
          1. JA : create Absicht wird aufgerufen und das Konto wird verknüpft, wenn die Absicht „create“ erfolgreich zurückgegeben wird.
          2. NEIN : Der OAuth-Verknüpfungsvorgang wird ausgelöst, der Nutzer wird zu seinem Browser weitergeleitet und hat die Möglichkeit, eine Verknüpfung mit einer anderen E‑Mail-Adresse herzustellen.
      2. NEIN : Der OAuth-Verknüpfungsvorgang wird ausgelöst, der Nutzer wird zu seinem Browser weitergeleitet und hat die Möglichkeit, eine Verknüpfung mit einer anderen E‑Mail-Adresse herzustellen.
    2. NEIN : Hat der Nutzer ein entsprechendes Konto in Ihrem Authentifizierungssystem? (check Absicht wird aufgerufen, um dies zu bestätigen)
      1. JA : get Absicht wird aufgerufen und das Konto wird verknüpft, wenn get Absicht erfolgreich zurückgegeben wird.
      2. NEIN : Wenn Ihr Dienst die Kontoerstellung unterstützt, wird die create Absicht aufgerufen und das Konto wird verknüpft, wenn create Absicht erfolgreich zurückgegeben wird. Wenn die Kontoerstellung nicht unterstützt wird, sollte Ihr Endpunkt HTTP 401 linking_error zurückgeben, um den Fallback-OAuth-Verknüpfungsvorgang auszulösen.

Implementierungsrezept

Ihr Endpunkt für den Tokenaustausch muss die erforderlichen Absichten check und get sowie optional die Absicht create implementieren, um die vereinfachte Verknüpfung zu unterstützen.

So verarbeiten Sie die verschiedenen Absichten:

检查现有用户账号（检查 intent）

Google 会调用您的令牌交换端点，以验证 Google 用户是否存在于您的系统中。如需了解参数详情，请参阅简化的关联 intent。

实现方案

如需处理所需的 check intent，请执行以下操作：

  1. 验证请求：

    • 验证 client_id、client_secret 和 grant_type（必须为 urn:ietf:params:oauth:grant-type:jwt-bearer）。
    • 使用 JWT 验证 中的条件验证 assertion (JWT)。

  2. 查找用户：

    • 检查 JWT 中的 Google 账号 ID (sub) 或电子邮件地址是否与数据库中的用户匹配。

  3. 回应：

    • 如果找到：返回 HTTP 200 OK，并附带 {"account_found": "true"}。
    • 如果未找到：返回 HTTP 404 Not Found，并附带 {"account_found": "false"}。

处理自动关联（获取 intent）

如果账号存在，Google 会使用 intent=get 调用您的端点以检索令牌。如需了解参数详情，请参阅简化的关联 intent。

实现方案

如需处理所需的 get intent，请执行以下操作：

  1. 验证请求：

    • 验证 client_id、client_secret 和 grant_type。
    • 验证 assertion (JWT)。

  2. 查找用户：

    • 使用 sub 或 email 声明验证用户是否存在。

  3. 回应：

    • 如果成功：在 JSON 响应 (HTTP 200 OK) 中生成并返回 access_token、refresh_token 和 expires_in。
    • 如果关联失败：返回 HTTP 401 Unauthorized，其中包含 {"error": "linking_error"} 和可选的 login_hint，以便回退 到标准 OAuth 关联。

Kontoerstellung mit „Über Google anmelden“ verarbeiten (Intent „create“)

Wenn Ihr Dienst die Kontoerstellung unterstützt und kein Konto vorhanden ist, ruft Google Ihren Endpunkt mit intent=create auf, um einen neuen Nutzer zu erstellen. Weitere Informationen zu den Parametern finden Sie unter Intents für die vereinfachte Verknüpfung.

Implementierungsrezept

So verarbeiten Sie das optionale Intent create:

  1. Anfrage validieren:

    • client_id, client_secret und grant_type überprüfen.
    • Die assertion (JWT) validieren.

  2. Prüfen, ob der Nutzer nicht vorhanden ist:

    • Prüfen, ob sub oder email bereits in Ihrer Datenbank vorhanden ist.
    • Wenn der Nutzer vorhanden ist: HTTP 401 Unauthorized mit {"error": "linking_error", "login_hint": "USER_EMAIL"} zurückgeben, um ein Fallback auf die OAuth-Verknüpfung zu erzwingen.

  3. Konto erstellen:

    • Verwenden Sie die Ansprüche sub, email, name und picture aus dem JWT, um einen neuen Nutzereintrag zu erstellen.

  4. Antworten:

    • Tokens in einer JSON-Antwort generieren und zurückgeben (HTTP 200 OK).

Google API-Client-ID abrufen

Sie müssen Ihre Google API-Client-ID während der Kontoverknüpfung Registrierung Prozess angeben. So rufen Sie Ihre API-Client-ID mit dem Projekt ab, das Sie beim Ausführen der Schritte zur OAuth-Verknüpfung erstellt haben: Führen Sie dazu die folgenden Schritte aus:

  1. Rufen Sie die Seite „Clients“ auf.

  2. Erstellen oder wählen Sie ein Google APIs-Projekt aus.

    Wenn Ihr Projekt keine Client-ID für den Webanwendungstyp hat, klicken Sie auf Client erstellen , um eine zu erstellen. Fügen Sie die Domain Ihrer Website im Feld Autorisierte JavaScript-Quellen hinzu. Wenn Sie lokale Tests oder Entwicklungen durchführen, müssen Sie sowohl http://localhost als auch http://localhost:<port_number> in das Feld Autorisierte JavaScript-Quellen eingeben.

Implementierung validieren

Sie können Ihre Implementierung mit dem OAuth 2.0 Playground Tool validieren.

Führen Sie im Tool die folgenden Schritte aus:

  1. Klicken Sie auf die Konfigurationseinstellungen , um das Fenster „OAuth 2.0-Konfiguration“ zu öffnen.
  2. Wählen Sie im Feld OAuth-Ablauf die Option Clientseitig aus.
  3. Wählen Sie im Feld OAuth-Endpunkte die Option Benutzerdefiniert aus.
  4. Geben Sie in den entsprechenden Feldern Ihren OAuth 2.0-Endpunkt und die Client-ID an, die Sie Google zugewiesen haben.
  5. Wählen Sie im Abschnitt Schritt 1 keine Google-Bereiche aus. Lassen Sie dieses Feld stattdessen leer oder geben Sie einen für Ihren Server gültigen Bereich ein (oder eine beliebige Zeichenfolge, wenn Sie keine OAuth-Bereiche verwenden). Klicken Sie anschließend auf APIs autorisieren.
  6. Führen Sie in den Abschnitten Schritt 2 und Schritt 3 den OAuth 2.0-Ablauf durch und prüfen Sie, ob jeder Schritt wie vorgesehen funktioniert.

Sie können Ihre Implementierung mit dem Tool „Google-Kontoverknüpfung – Demo“ validieren.

Führen Sie im Tool die folgenden Schritte aus:

  1. Klicken Sie auf die Schaltfläche Mit Google anmelden.
  2. Wählen Sie das Konto aus, das Sie verknüpfen möchten.
  3. Geben Sie die Dienst-ID ein.
  4. Optional können Sie einen oder mehrere Bereiche eingeben, für die Sie Zugriff anfordern möchten.
  5. Klicken Sie auf Demo starten.
  6. Bestätigen Sie bei Aufforderung, dass Sie der Verknüpfungsanfrage zustimmen und sie ablehnen können.
  7. Bestätigen Sie, dass Sie zu Ihrer Plattform weitergeleitet werden.