Guia de migração do fluxo de endereços IP de loopback

Visão geral

Em 16 de fevereiro de 2022, anunciamos planos para tornar as interações do OAuth do Google mais seguras usando fluxos OAuth mais seguros. Este guia ajuda você a entender as mudanças e etapas necessárias para migrar com sucesso do fluxo de endereço IP de loopback para alternativas compatíveis.

Essa ação é uma medida de proteção contra ataques de phishing e de representação de apps durante interações com os endpoints de autorização do OAuth 2.0 do Google.

O fluxo de endereço IP loopback está sendo descontinuado para os tipos de cliente OAuth nativos do iOS, Android e Chrome, mas vai continuar sendo compatível com apps para computador.

Determinar se você será afetado

Verificar o tipo de ID do cliente OAuth

Acesse o Clients page do Google Cloud Console e confira o tipo de ID do cliente OAuth na seção IDs do cliente OAuth 2.0. Será um dos seguintes: aplicativo da Web, Android, iOS, Plataforma Universal do Windows (UWP), app Chrome, TVs e dispositivos de entrada limitada ou app para computador.

Siga para a próxima etapa se o tipo de cliente for Android, app Chrome ou iOS e você estiver usando o fluxo de endereço IP loopback.

Não é necessário fazer nada relacionado a essa descontinuação se você estiver usando o fluxo de endereço IP de loopback em um cliente OAuth de app para computador, já que o uso com esse tipo de cliente OAuth vai continuar sendo compatível.

Como determinar se o app está usando o fluxo de endereço IP de loopback

Inspecione o código do app ou a chamada de rede de saída (caso o app esteja usando uma biblioteca OAuth) para determinar se a solicitação de autorização do Google OAuth feita pelo app está usando valores de URI de redirecionamento de loopback.

Inspecionar o código do aplicativo

https://accounts.google.com/o/oauth2/v2/auth?
redirect_uri=http://localhost:3000&
response_type=code&
scope=<SCOPES>&
state=<STATE>&
client_id=<CLIENT_ID>

Inspecionar uma chamada de rede de saída

https://accounts.google.com/o/oauth2/v2/auth?
redirect_uri=http://localhost:3000&
response_type=code&
scope=<SCOPES>&
state=<STATE>&
client_id=<CLIENT_ID>

Migrar para uma alternativa compatível

Clientes para dispositivos móveis (Android / iOS)

Se você determinar que seu app está usando o fluxo de endereço IP de loopback com um tipo de cliente OAuth do Android ou iOS, migre para o uso dos SDKs recomendados (Android, iOS).

O SDK facilita o acesso às APIs do Google e processa todas as chamadas aos endpoints de autorização OAuth 2.0 do Google.

Os links de documentação abaixo fornecem informações sobre como usar os SDKs recomendados para acessar APIs do Google sem usar um endereço IP de loopback URI de redirecionamento.

Acessar as APIs do Google no Android

Acesso do lado do cliente

O exemplo a seguir mostra como acessar as APIs do Google no lado do cliente no Android usando a biblioteca Android recomendada dos Serviços de Identificação do Google.

  List requestedScopes = Arrays.asList(DriveScopes.DRIVE_APPDATA);
    AuthorizationRequest authorizationRequest = AuthorizationRequest.builder().setRequestedScopes(requestedScopes).build();
    Identity.getAuthorizationClient(activity)
            .authorize(authorizationRequest)
            .addOnSuccessListener(
                authorizationResult -> {
                  if (authorizationResult.hasResolution()) {
                    // Access needs to be granted by the user
                    PendingIntent pendingIntent = authorizationResult.getPendingIntent();
                    try {
    startIntentSenderForResult(pendingIntent.getIntentSender(),
    REQUEST_AUTHORIZE, null, 0, 0, 0, null);
                    } catch (IntentSender.SendIntentException e) {
                    Log.e(TAG, "Couldn't start Authorization UI: " + e.getLocalizedMessage());
                    }
                  } else {
                    // Access already granted, continue with user action
                    saveToDriveAppFolder(authorizationResult);
                  }
                })
            .addOnFailureListener(e -> Log.e(TAG, "Failed to authorize", e));

Transmita o authorizationResult ao método definido para salvar o conteúdo na pasta do Drive do usuário. O authorizationResult tem o método getAccessToken(), que retorna o token de acesso.

Acesso do lado do servidor (off-line)

  List requestedScopes = Arrays.asList(DriveScopes.DRIVE_APPDATA);
    AuthorizationRequest authorizationRequest = AuthorizationRequest.builder()
    .requestOfflineAccess(webClientId)
            .setRequestedScopes(requestedScopes)
            .build();
    Identity.getAuthorizationClient(activity)
            .authorize(authorizationRequest)
            .addOnSuccessListener(
                authorizationResult -> {
                  if (authorizationResult.hasResolution()) {
                    // Access needs to be granted by the user
                    PendingIntent pendingIntent = authorizationResult.getPendingIntent();
                    try {
    startIntentSenderForResult(pendingIntent.getIntentSender(),
    REQUEST_AUTHORIZE, null, 0, 0, 0, null);
                    } catch (IntentSender.SendIntentException e) {
                    Log.e(TAG, "Couldn't start Authorization UI: " + e.getLocalizedMessage());
                    }
                  } else {
                    String authCode = authorizationResult.getServerAuthCode();
                  }
                })
            .addOnFailureListener(e -> Log.e(TAG, "Failed to authorize", e));

O authorizationResult tem o método getServerAuthCode() que retorna o código de autorização que você pode enviar para seu back-end para receber um token de acesso e de atualização.

Acessar APIs do Google em um app iOS

Acesso do lado do cliente

O exemplo abaixo mostra como acessar as APIs do Google no lado do cliente no iOS.

user.authentication.do { authentication, error in
  guard error == nil else { return }
  guard let authentication = authentication else { return }
  
  // Get the access token to attach it to a REST or gRPC request.
  let accessToken = authentication.accessToken
  
  // Or, get an object that conforms to GTMFetcherAuthorizationProtocol for
  // use with GTMAppAuth and the Google APIs client library.
  let authorizer = authentication.fetcherAuthorizer()
}

Use o token de acesso para chamar a API. Para isso, inclua o token no cabeçalho de uma solicitação REST ou gRPC (Authorization: Bearer ACCESS_TOKEN) ou use o autorizador de busca (GTMFetcherAuthorizationProtocol) com a biblioteca de cliente das APIs do Google para Objective-C para REST.

Consulte o guia de acesso do lado do cliente para saber como acessar as APIs do Google no lado do cliente. sobre como acessar as APIs do Google no lado do cliente.

Acesso do lado do servidor (off-line)

GIDSignIn.sharedInstance.signIn(with: signInConfig, presenting: self) { user, error in
  guard error == nil else { return }
  guard let user = user else { return }
  
  // request a one-time authorization code that your server exchanges for
  // an access token and refresh token
  let authCode = user.serverAuthCode
}

Consulte o guia de acesso do lado do servidor para saber como acessar as APIs do Google do lado do servidor.

Cliente de app Chrome

Se você determinar que seu app está usando o fluxo de endereço IP de loopback no cliente do app Chrome, migre para a API Chrome Identity.

O exemplo abaixo mostra como receber todos os contatos do usuário sem usar um URI de redirecionamento de endereço IP de loopback.

window.onload = function() {
  document.querySelector('button').addEventListener('click', function() {

  
  // retrieve access token
  chrome.identity.getAuthToken({interactive: true}, function(token) {
  
  // ..........


  // the example below shows how to use a retrieved access token with an appropriate scope
  // to call the Google People API contactGroups.get endpoint

  fetch(
    'https://people.googleapis.com/v1/contactGroups/all?maxMembers=20&key=API_KEY',
    init)
    .then((response) => response.json())
    .then(function(data) {
      console.log(data)
    });
   });
 });
};

Consulte o guia da API Chrome Identity para mais informações sobre como acessar usuários autenticados e chamar endpoints do Google com a API Chrome Identity.