Liên kết tài khoản bằng OAuth (Dialogflow)

Loại liên kết OAuth hỗ trợ 2 quy trình OAuth 2.0 tiêu chuẩn ngành, ngầm ẩn và uỷ quyền.

In the implicit code flow, Google opens your authorization endpoint in the user's browser. After successful sign in, you return a long-lived access token to Google. This access token is now included in every request sent from the Assistant to your Action.

In the authorization code flow, you need two endpoints:

• The authorization endpoint, which is responsible for presenting the sign-in UI to your users that aren't already signed in and recording consent to the requested access in the form of a short-lived authorization code.
• The token exchange endpoint, which is responsible for two types of exchanges:
  1. Exchanges an authorization code for a long-lived refresh token and a short-lived access token. This exchange happens when the user goes through the account linking flow.
  2. Exchanges a long-lived refresh token for a short-lived access token. This exchange happens when Google needs a new access token because the one it had expired.

Although the implicit code flow is simpler to implement, Google recommends that access tokens issued using the implicit flow never expire, because using token expiration with the implicit flow forces the user to link their account again. If you need token expiration for security reasons, you should strongly consider using the auth code flow instead.

Note: Please choose which OAuth2 flow you want to implement. If needed, the content of this guide reloads to adapt to your choice.

Auth code Implicit flow

Triển khai quá trình liên kết tài khoản OAuth

Lưu ý: Nếu đang triển khai tính năng liên kết tài khoản để xử lý thông tin tài chính, Xin lưu ý rằng các chính sách bổ sung có thể áp dụng cho Hành động của bạn. Có thể mất tới sáu tuần để xem xét một Hành động có liên kết tài khoản để biết thông tin tài chính, vì vậy, tính thời gian đó khi lên kế hoạch cho lịch phát hành. Để giúp quy trình xem xét diễn ra dễ dàng hơn hãy đảm bảo bạn tuân thủ chính sách về dịch vụ tài chính trước khi gửi Hành động đi xem xét.

Định cấu hình dự án

Để định cấu hình dự án nhằm sử dụng tính năng liên kết tài khoản OAuth, hãy làm theo các bước sau:

1. Mở Actions Console rồi chọn dự án mà bạn muốn sử dụng.
2. Nhấp vào thẻ Phát triển rồi chọn Liên kết tài khoản.
3. Bật nút chuyển bên cạnh Liên kết tài khoản.
4. Trong phần Tạo tài khoản, hãy chọn Không, tôi chỉ muốn cho phép tạo tài khoản trên trang web của mình.

5. Trong mục Loại liên kết, hãy chọn OAuth và Ngầm ẩn.

   

6. Trong mục Thông tin khách hàng:

   • Gán một giá trị cho Mã ứng dụng khách do Actions to Google để xác định các yêu cầu đến từ Google.
   • Chèn URL cho điểm cuối Uỷ quyền và Trao đổi mã thông báo.

Lưu ý: Nếu bạn muốn gửi mã khách hàng dưới dạng mã base64 hãy nhấp vào mũi tên thả xuống bên cạnh Định cấu hình ứng dụng của bạn (không bắt buộc) và chọn hộp Google để truyền clientID và secret qua HTTP cơ bản tiêu đề xác thực.

6. Nhấp vào Lưu.

Triển khai máy chủ OAuth

Để hỗ trợ quy trình ngầm ẩn OAuth 2.0, dịch vụ của bạn sẽ tạo một yêu cầu uỷ quyền điểm cuối được cung cấp bởi HTTPS. Điểm cuối này chịu trách nhiệm xác thực và có được sự đồng ý của người dùng về việc truy cập dữ liệu. Điểm cuối uỷ quyền biểu thị giao diện người dùng đăng nhập cho những người dùng chưa đăng nhập và ghi lại đồng ý với quyền truy cập được yêu cầu.

Khi Hành động của bạn cần gọi một trong những API được uỷ quyền của dịch vụ, Google sẽ sử dụng điểm cuối này để yêu cầu người dùng cho phép gọi các API này trên thay mặt cho bạn.

Một phiên luồng quy trình ngầm ẩn OAuth 2.0 điển hình do Google khởi tạo có quy trình sau:

1. Google sẽ mở điểm cuối uỷ quyền của bạn trong trình duyệt của người dùng. Chiến lược phát hành đĩa đơn người dùng đăng nhập nếu họ chưa đăng nhập và cấp cho Google quyền truy cập dữ liệu của họ cùng với API của bạn nếu họ chưa cấp quyền.
2. Dịch vụ của bạn sẽ tạo mã truy cập rồi trả lại cho Google bằng cách chuyển hướng trình duyệt của người dùng trở lại Google bằng mã truy cập được đính kèm vào yêu cầu.
3. Google gọi các API của dịch vụ và đính kèm mã truy cập bằng từng yêu cầu. Dịch vụ của bạn xác minh rằng mã truy cập cấp cho Google uỷ quyền truy cập API, sau đó hoàn tất lệnh gọi API.

Xử lý yêu cầu uỷ quyền

Khi Hành động của bạn cần thực hiện việc liên kết tài khoản thông qua luồng ngầm ẩn OAuth2, Google đưa người dùng đến điểm cuối uỷ quyền của bạn kèm theo một yêu cầu bao gồm các thông số sau:

Tham số điểm cuối ủy quyền
client_id	Mã ứng dụng khách mà bạn đã chỉ định cho Google.
redirect_uri	URL mà bạn gửi phản hồi tới yêu cầu này.
state	Giá trị sổ sách được chuyển lại cho Google không thay đổi trong URI chuyển hướng.
response_type	Loại giá trị cần trả về trong phản hồi. Đối với OAuth 2.0 ngầm ẩn luồng, loại phản hồi luôn là token.

Ví dụ: nếu điểm cuối uỷ quyền của bạn có tại https://myservice.example.com/auth, một yêu cầu có thể có dạng như sau:

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token

Để điểm cuối uỷ quyền của bạn có thể xử lý các yêu cầu đăng nhập, hãy làm theo các bước sau:

1. Xác minh các giá trị client_id và redirect_uri để ngăn việc cấp quyền truy cập vào các ứng dụng khách ngoài ý muốn hoặc bị định cấu hình sai:

   • Xác nhận rằng client_id khớp với mã ứng dụng khách mà bạn được chỉ định cho Google.
   • Xác nhận rằng URL do redirect_uri chỉ định thông số đó có dạng như sau:

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID

     YOUR_PROJECT_ID là mã nhận dạng có trên trang Cài đặt dự án của Bảng điều khiển Actions.

2. Kiểm tra xem người dùng đã đăng nhập vào dịch vụ của bạn chưa. Nếu người dùng chưa ký hãy hoàn tất quy trình đăng nhập hoặc đăng ký dịch vụ của bạn.

3. Tạo mã truy cập mà Google sẽ dùng để truy cập vào API của bạn. Chiến lược phát hành đĩa đơn mã truy cập có thể là bất kỳ giá trị chuỗi nào, nhưng mã này phải thể hiện duy nhất người dùng và máy khách của mã thông báo đó và không được phép đoán.

4. Gửi phản hồi HTTP chuyển hướng trình duyệt của người dùng đến URL do tham số redirect_uri chỉ định. Bao gồm tất cả các tham số sau trong phân đoạn URL:

   • access_token: mã truy cập bạn vừa tạo
   • token_type: chuỗi bearer
   • state: giá trị trạng thái chưa được sửa đổi so với giá trị gốc yêu cầu Sau đây là ví dụ về URL kết quả:

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING

Trình xử lý chuyển hướng OAuth 2.0 của Google sẽ nhận mã truy cập và xác nhận rằng giá trị state không thay đổi. Sau khi Google có được mã truy cập của dịch vụ của bạn, Google sẽ đính kèm mã này vào các lệnh gọi tiếp theo đối với Hành động của bạn trong AppRequest.

Bắt đầu quy trình xác thực

Cảnh báo: Đừng đưa ra cho người dùng lời nhắc bắt buộc về liên kết tài khoản khi bắt đầu cuộc trò chuyện với Hành động của bạn. Thay vào đó, hãy cung cấp cho người dùng chưa xác thực một luồng khách để cho biết cách hoạt động của Hành động của bạn, sau đó chỉ yêu cầu liên kết tài khoản nếu cần thiết để tiếp tục. Nếu người dùng thường xuyên rời khỏi Hành động do các vấn đề liên quan đến việc liên kết tài khoản, thì Google sẽ không chủ động quảng bá Hành động đó. Điều này có thể làm giảm lưu lượng truy cập của người dùng hành động đó.

Sử dụng ý định trợ giúp Đăng nhập vào tài khoản để bắt đầu quy trình xác thực. Các đoạn mã sau đây mô tả cách gửi phản hồi trong Dialogflow và SDK Hành động để sử dụng trình trợ giúp này.

Dialogflow:

Node.js

const {dialogflow, SignIn} = require('actions-on-google');
const app = dialogflow({
  // REPLACE THE PLACEHOLDER WITH THE CLIENT_ID OF YOUR ACTIONS PROJECT
  clientId: CLIENT_ID,
});
// Intent that starts the account linking flow.
app.intent('Start Signin', (conv) => {
  conv.ask(new SignIn('To get your account details'));
});

Java

@ForIntent("Start Signin")
public ActionResponse text(ActionRequest request) {
  ResponseBuilder rb = getResponseBuilder(request);
  return rb.add(new SignIn().setContext("To get your account details")).build();
}

JSON

{
  "payload": {
    "google": {
      "expectUserResponse": true,
      "richResponse": {
        "items": [
          {
            "simpleResponse": {
              "textToSpeech": "PLACEHOLDER"
            }
          }
        ]
      },
      "userStorage": "{\"data\":{}}",
      "systemIntent": {
        "intent": "actions.intent.SIGN_IN",
        "data": {
          "@type": "type.googleapis.com/google.actions.v2.SignInValueSpec",
          "optContext": "To get your account details"
        }
      }
    }
  },
  "outputContexts": [
    {
      "name": "/contexts/_actions_on_google",
      "lifespanCount": 99,
      "parameters": {
        "data": "{}"
      }
    }
  ]
}

SDK Hành động:

Node.js

const {actionssdk, SignIn} = require('actions-on-google');
const app = actionssdk({
  // REPLACE THE PLACEHOLDER WITH THE CLIENT_ID OF YOUR ACTIONS PROJECT
  clientId: CLIENT_ID,
});
// Intent that starts the account linking flow.
app.intent('actions.intent.TEXT', (conv) => {
  conv.ask(new SignIn('To get your account details'));
});

Java

@ForIntent("actions.intent.TEXT")
public ActionResponse text(ActionRequest request) {
  ResponseBuilder rb = getResponseBuilder(request);
  return rb.add(new SignIn().setContext("To get your account details")).build();
}

JSON

{
  "expectUserResponse": true,
  "expectedInputs": [
    {
      "inputPrompt": {
        "richInitialPrompt": {
          "items": [
            {
              "simpleResponse": {
                "textToSpeech": "PLACEHOLDER"
              }
            }
          ]
        }
      },
      "possibleIntents": [
        {
          "intent": "actions.intent.SIGN_IN",
          "inputValueData": {
            "@type": "type.googleapis.com/google.actions.v2.SignInValueSpec",
            "optContext": "To get your account details"
          }
        }
      ]
    }
  ],
  "conversationToken": "{\"data\":{}}",
  "userStorage": "{\"data\":{}}"
}

Xử lý các yêu cầu về quyền truy cập dữ liệu

Nếu yêu cầu của Trợ lý chứa mã truy cập, trước tiên, hãy kiểm tra để đảm bảo mã truy cập là hợp lệ (và chưa hết hạn), sau đó truy xuất tài khoản người dùng được liên kết từ cơ sở dữ liệu của bạn.