身份验证和授权分别用于验证身份和访问资源。本文档介绍了在应用中实现身份验证和授权之前，您应了解的关键术语。
身份验证用于识别发出请求的正文。授权用于确定请求者可以访问哪些资源以及他们拥有哪种访问权限级别。身份验证是授权的前提条件。您必须先确定请求者的身份，然后才能确定要访问哪些资源。如需更详细的定义，请参阅“重要术语”部分。
请考虑以下简化的酒店预订示例。当您抵达酒店时，前台客服人员会要求您出示身份证件以验证您的预订信息。您的身份证件可用于向酒店验证您的身份。前台客服人员会将酒店房卡交给您。借助此钥匙，您可以使用酒店的某些资源，例如客房、健身房和商务中心。酒店密钥可授权您访问这些资源。
流程概览
下图显示了 Google Workspace API 的身份验证和授权的概要步骤：
配置 Google Cloud 项目和应用：在开发过程中，您需要在 Google Cloud 控制台中注册应用，定义授权范围和访问凭据，以便使用 API 密钥、最终用户凭据或服务账号凭据对应用进行身份验证。
对应用进行身份验证以获得访问权限：当您的应用运行时，系统会评估已注册的访问凭据。如果您的应用以最终用户的身份进行身份验证，系统可能会显示登录提示。
请求资源：当您的应用需要访问 Google 资源时，它会使用您之前注册的相关访问权限范围向 Google 发出请求。
征求用户同意：如果您的应用以最终用户身份进行身份验证，Google 会显示 OAuth 权限请求页面，以便用户决定是否授予您的应用对请求数据的访问权限。
发送已获批准的资源请求：如果用户同意授予访问权限范围，您的应用会将凭据和用户批准的访问权限范围打包到请求中。系统会将请求发送到 Google 授权服务器以获取访问令牌。
Google 返回访问令牌：访问令牌包含已授予的访问权限范围列表。如果返回的范围列表比请求的访问范围更有限，您的应用会停用受令牌限制的所有功能。
访问所请求的资源：您的应用使用 Google 提供的访问令牌调用相关 API 并访问资源。
获取刷新令牌（可选）：如果您的应用需要在单个访问令牌的生命周期之外访问 Google API，则可以获取刷新令牌。
请求更多资源：如果需要额外的访问权限，您的应用会要求用户授予新的访问权限范围，从而发出获取访问令牌的新请求（第 3-6 步）。
重要术语
以下是与身份验证和授权相关的术语列表：
- Authentication
确保正文（可以是用户或代表用户行事的应用）是他们所声明的身份的行为。编写 Google Workspace 应用时，您应了解以下身份验证类型：
- 用户身份验证
- 用户对您的应用进行身份验证（登录）的行为。用户身份验证通常通过登录流程进行，用户在该流程中使用用户名和密码组合向应用验证自己的身份。您可以使用使用 Google 账号登录将用户身份验证功能纳入应用中。
- 应用身份验证
- 应用代表运行该应用的用户直接对 Google 服务进行身份验证的行为。应用身份验证通常使用应用代码中预先创建的凭据进行。
- 授权
正文访问数据或执行操作所需的权限或“授权”。授权操作是通过您在应用中编写的代码执行的。此代码会告知用户应用希望代表用户执行操作，并在获得用户许可后，使用应用的唯一凭据从 Google 获取用于访问数据或执行操作的访问令牌。
- 凭据
软件安全中使用的一种身份验证方式。在身份验证方面，凭据通常是用户名和密码的组合。就 Google Workspace API 的授权而言，凭据通常是某种形式的标识，例如仅应用开发者和身份验证服务器知道的唯一 Secret 字符串。Google 支持以下身份验证凭据：API 密钥、OAuth 2.0 客户端 ID 和服务账号。
- API 密钥
- 用于请求访问公开数据的凭据，例如使用 Maps API 提供的数据或使用 Google Workspace 共享设置中的“拥有此链接的任何互联网用户”设置共享的 Google Workspace 文件。
- OAuth 2 客户端 ID
- 用于请求访问用户拥有的数据的凭据。这是使用 Google Workspace API 请求访问数据时使用的主凭据。此凭据需要征得用户同意。
- 客户端密钥
- 一个字符串，应仅由您的应用和授权服务器知道。客户端密钥通过仅向已获授权的请求方授予令牌来保护用户的数据。切勿在应用中添加未加密的客户端密钥。我们建议您安全地存储客户端密钥。如需了解详情，请参阅安全地处理客户端凭据。
- 服务账号密钥
- 服务账号用来获得对 Google 服务的授权。
- 服务账号
- 用于服务器到服务器交互的凭据，例如作为进程运行以访问某些数据或执行某些操作的无脸应用。服务账号通常用于访问基于云的数据和操作。不过，如果与全网域授权搭配使用，则可以用于访问用户数据。
- 范围
OAuth 2.0 URI 字符串，用于定义授予应用对资源或操作的访问权限级别。对于 Google Workspace，授权范围 URI 包含 Google Workspace 应用名称、它访问的数据类型以及访问权限级别。应用的用户可以查看请求的范围并选择要授予的访问权限，然后 Google 的身份验证服务器会通过访问令牌将允许的范围返回给您的应用。如需了解详情，请参阅如何为应用选择镜重。
- 授权服务器
Google 的服务器，用于使用访问令牌授予对应用请求的数据和操作的访问权限。
- 授权代码
授权服务器发送的用于获取访问令牌的代码。只有当您的应用类型为网站服务器应用或安装式应用时，才需要代码。
- 访问令牌
用于授予对 Google Workspace API 的访问权限的令牌。一个访问令牌可以授予对多个 API 的不同程度（称为“范围”）的访问权限。应用的授权代码会请求访问令牌，并使用这些令牌调用 Google Workspace API。
- 资源服务器
托管您的应用要调用的 API 的服务器。
- OAuth 2.0 框架
您的应用可以使用此标准为其提供“安全的委托访问权限”，或代表应用用户访问数据和操作。您在应用中使用的身份验证和授权机制代表您对 OAuth 2.0 框架的实现。
- 主账号
实体（也称为身份），可被授予资源访问权限。Google Workspace API 支持两种类型的主账号：用户账号和服务账号。如需了解详情，请参阅要点。
- 数据类型
在身份验证和授权方面，数据类型是指拥有应用尝试访问的数据的实体。数据类型有三种：
- 公共领域数据
- 任何人都可以访问的数据，例如某些 Google 地图数据。通常，您需要使用 API 密钥才能访问此类数据。
- 最终用户数据
- 属于特定最终用户或群组的数据，例如特定用户的 Google 云端硬盘文件。通常，您可以使用 OAuth 2 客户端 ID 或服务账号访问此数据类型。
- 云数据
- Google Cloud 项目拥有的数据。此数据类型通常由服务账号访问。
- 用户意见征求
一种授权步骤，要求应用用户授权应用访问数据并代表用户执行操作。
- 应用类型
您要创建的应用类型。使用 Google Cloud 控制台创建凭据时，系统会要求您选择应用类型。应用类型包括：Web 应用（JavaScript）、Android、Chrome 应用、iOS、电视和限输入设备、桌面应用（也称为“已安装的应用”）和通用 Windows 平台 (UWP)。
- 服务账号
一种特殊类型的 Google 账号，用于表示需要验证身份并获得授权以访问数据的非人类用户。您的应用会使用服务账号的身份调用 Google API，这样用户就不必直接参与其中。服务账号本身无法用于访问用户数据（通常使用 Workspace API 访问的数据）。不过，服务账号可以通过实现全网域授权来访问用户数据。如需了解详情，请参阅了解服务账号。
- 全网域授权
一项管理功能，可授权应用代表 Google Workspace 组织中的用户访问用户数据。全网域授权可用于对用户数据执行管理员相关任务。如需以这种方式委托权限，Google Workspace 管理员需要使用 OAuth 2.0 服务账号。由于此功能的强大功能，只有超级用户才能启用全网域授权。如需了解详情，请参阅向服务账号委派全网域授权。
下一步
配置应用的 OAuth 权限请求页面，以确保用户能够了解并批准您的应用对其数据的访问权限。