Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Liên kết Tài khoản Google với OAuth

Các tài khoản được liên kết bằng quy trình mã uỷ quyền OAuth 2.0 theo tiêu chuẩn ngành.

OAuth 2.1 và PKCE cho nhân viên hỗ trợ

Đối với các tác nhân AI không trạng thái và quy trình đa phương thức, bạn nên thực thi OAuth 2.1.

PKCE (Khoá bằng chứng để trao đổi mã): Phải được dùng để bảo mật quy trình sử dụng mã uỷ quyền, ngăn chặn các cuộc tấn công chặn.
Không có luồng cấp quyền trực tiếp: Luồng cấp quyền trực tiếp cho phép hiển thị mã truy cập trong URL, đây là một rủi ro bảo mật đối với môi trường tác nhân.

Dịch vụ của bạn phải hỗ trợ các điểm cuối uỷ quyền và trao đổi mã thông báo tuân thủ OAuth 2.0/2.1.

Tạo dự án

Cách tạo dự án để sử dụng tính năng liên kết tài khoản:

Chuyển đến Google API Console.
Nhấp vào Tạo dự án.
Nhập tên hoặc chấp nhận tên được đề xuất.
Xác nhận hoặc chỉnh sửa mọi trường còn lại.
Nhấp vào Tạo.

Cách xem mã dự án:

Chuyển đến Google API Console.
Tìm dự án của bạn trong bảng trên trang đích. Mã dự án xuất hiện trong cột Mã.

Định cấu hình màn hình xin phép bằng OAuth

Quy trình liên kết Tài khoản Google bao gồm một màn hình xin phép cho người dùng biết ứng dụng đang yêu cầu quyền truy cập vào dữ liệu của họ, loại dữ liệu mà ứng dụng đang yêu cầu và các điều khoản áp dụng. Bạn cần định cấu hình màn hình xin phép bằng OAuth trước khi tạo mã ứng dụng khách Google API.

Mở trang màn hình xin phép bằng OAuth của Google API Console.
Nếu được nhắc, hãy chọn dự án mà bạn vừa tạo.
Trên trang "Màn hình xin phép bằng OAuth", hãy điền thông tin vào biểu mẫu rồi nhấp vào nút “Lưu”.

Tên ứng dụng: Tên của ứng dụng yêu cầu sự đồng ý. Tên này phải phản ánh chính xác ứng dụng của bạn và nhất quán với tên ứng dụng mà người dùng thấy ở những nơi khác. Tên ứng dụng sẽ xuất hiện trên màn hình xin phép Liên kết tài khoản.

Biểu trưng ứng dụng: Một hình ảnh trên màn hình xin phép sẽ giúp người dùng nhận ra ứng dụng của bạn. Biểu trưng này xuất hiện trên màn hình xin phép liên kết tài khoản và trên phần cài đặt tài khoản

Email hỗ trợ: Để người dùng liên hệ với bạn khi có thắc mắc về sự đồng ý của họ.

Phạm vi cho các API của Google: Phạm vi cho phép ứng dụng của bạn truy cập vào dữ liệu Google riêng tư của người dùng. Đối với trường hợp sử dụng liên kết Tài khoản Google, phạm vi mặc định (email, hồ sơ, OpenID) là đủ, bạn không cần thêm bất kỳ phạm vi nhạy cảm nào. Thông thường, bạn nên yêu cầu các phạm vi theo từng bước, tại thời điểm cần có quyền truy cập, thay vì yêu cầu trước. Tìm hiểu thêm.

Miền được uỷ quyền: Để bảo vệ bạn và người dùng, Google chỉ cho phép những ứng dụng xác thực bằng OAuth sử dụng Miền được uỷ quyền. Đường liên kết đến các ứng dụng của bạn phải được lưu trữ trên Miền được uỷ quyền. Tìm hiểu thêm.

Đường liên kết đến trang chủ của ứng dụng: Trang chủ của ứng dụng. Phải được lưu trữ trên một Miền được uỷ quyền.

Đường liên kết đến Chính sách quyền riêng tư của ứng dụng: Xuất hiện trên màn hình xin phép Liên kết với Tài khoản Google. Phải được lưu trữ trên một Miền được uỷ quyền.

Đường liên kết đến Điều khoản dịch vụ của ứng dụng (Không bắt buộc): Phải được lưu trữ trên một Miền được uỷ quyền.

Hình 1 Màn hình đồng ý liên kết Tài khoản Google cho một Ứng dụng giả định, Tunery
Kiểm tra "Trạng thái xác minh". Nếu ứng dụng của bạn cần xác minh, hãy nhấp vào nút "Gửi để xác minh" để gửi ứng dụng của bạn đi xác minh. Hãy tham khảo các yêu cầu xác minh OAuth để biết thông tin chi tiết.

Triển khai máy chủ OAuth

An OAuth 2.0 server implementation of the authorization code flow consists of two endpoints, which your service makes available by HTTPS. The first endpoint is the authorization endpoint, which is responsible for finding or obtaining consent from users for data access. The authorization endpoint presents a sign-in UI to your users that aren't already signed in and records consent to the requested access. The second endpoint is the token exchange endpoint, which is used to obtain encrypted strings, called tokens, that authorize a user to access your service.

When a Google application needs to call one of your service's APIs, Google uses these endpoints together to get permission from your users to call these APIs on their behalf.

Google Account Linking: OAuth Authorization Code Flow

The following sequence diagram details interactions between the User, Google, and your service's endpoints.

Figure 1. The sequence of events in the OAuth 2.0 Authorization Code flow for Google Account Linking.

Roles and responsibilities

The following table defines the roles and responsibilities of the actors in the Google Account Linking (GAL) OAuth flow. Note that in GAL, Google acts as the OAuth Client, while your service acts as the Identity/Service Provider.

Actor / Component	GAL Role	Responsibilities
Google App / Server	OAuth Client	Initiates the flow, receives the authorization code, exchanges it for tokens, and securely stores them to access your service's APIs.
Your Authorization Endpoint	Authorization Server	Authenticates your users and obtains their consent to share access to their data with Google.
Your Token Exchange Endpoint	Authorization Server	Validates authorization codes and refresh tokens, and issues access tokens to the Google Server.
Google Redirect URI	Callback Endpoint	Receives the user redirect from your authorization service with the `code` and `state` values.

An OAuth 2.0 authorization code flow session initiated by Google has the following flow:

Google opens your authorization endpoint in the user's browser. If the flow started on a voice-only device for an Action, Google transfers the execution to a phone.
The user signs in, if not signed in already, and grants Google permission to access their data with your API, if they haven't already granted permission.
Your service creates an authorization code and returns it to Google. To do so, redirect the user's browser back to Google with the authorization code attached to the request.
Google sends the authorization code to your token exchange endpoint, which verifies the authenticity of the code and returns an access token and a refresh token. The access token is a short-lived token that your service accepts as credentials to access APIs. The refresh token is a long-lived token that Google can store and use to acquire new access tokens when they expire.
After the user has completed the account linking flow, every subsequent request sent from Google contains an access token.

Implementation Recipe

Follow these steps to implement the Authorization Code flow.

Step 1: Handle authorization requests

When Google initiates account linking, it redirects the user to your authorization endpoint. For detailed protocol contracts and parameter requirements, see the Authorization Endpoint.

To handle the request, perform the following actions:

Validate the request:
- Confirm that the client_id matches the Client ID assigned to Google.
- Confirm that the redirect_uri matches the expected Google redirect URL: none https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID https://oauth-redirect-sandbox.googleusercontent.com/r/YOUR_PROJECT_ID
- Verify that response_type is code.
Authenticate the user:
- Check if the user is signed in to your service.
- If the user is not signed in, prompt them to complete your sign-in or sign-up flow.
Generate authorization code:
- Create a unique, non-guessable authorization code associated with the user and client.
- Set the code to expire in approximately 10 minutes.
Redirect back to Google:
- Redirect the browser to the URL provided in redirect_uri.
- Append the following query parameters:
  - code: The authorization code you generated.
  - state: The unmodified state value received from Google.

Step 2: Handle token exchange requests

Your token exchange endpoint processes two types of requests: exchanging codes for tokens, and refreshing expired access tokens. For detailed protocol contracts and parameter requirements, see the Token Exchange Endpoint.

A. Exchange authorization codes for tokens

When Google receives the authorization code, it calls your token exchange endpoint (POST) to retrieve tokens.

Validate the request:
- Verify client_id and client_secret.
- Verify the authorization code is valid and not expired.
- Confirm redirect_uri matches the value used in Step 1.
- If validation fails, return an HTTP 400 Bad Request with {"error": "invalid_grant"}.
Issue tokens:
- Generate a long-lived refresh_token and a short-lived access_token (typically 1 hour).
- Return an HTTP 200 OK with the standard JSON token response.

B. Refresh access tokens

When the access token expires, Google requests a new one using the refresh token.

Validate the request:
- Verify client_id, client_secret, and refresh_token.
- If validation fails, return an HTTP 400 Bad Request with {"error": "invalid_grant"}.
Issue new access token:
- Generate a new short-lived access_token.
- Return an HTTP 200 OK with the JSON token response (optionally including a new refresh token).

Xử lý các yêu cầu thông tin người dùng

Điểm cuối userinfo là một tài nguyên được bảo vệ bằng OAuth 2.0. Tài nguyên này trả về các thông báo xác nhận quyền sở hữu về người dùng được liên kết. Việc triển khai và lưu trữ điểm cuối userinfo là không bắt buộc, ngoại trừ các trường hợp sử dụng sau:

Đăng nhập vào tài khoản được liên kết bằng tính năng Google One Chạm.
Gói thuê bao dễ dàng trên Android TV.

Sau khi đã truy xuất thành công mã truy cập từ điểm cuối của mã thông báo, Google sẽ gửi yêu cầu đến điểm cuối userinfo của bạn để truy xuất thông tin hồ sơ cơ bản về người dùng được liên kết.

tiêu đề của yêu cầu điểm cuối userinfo
`Authorization header`	Mã truy cập thuộc loại Bearer.

Ví dụ: nếu điểm cuối userinfo của bạn có sẵn tại https://myservice.example.com/userinfo, một yêu cầu có thể có dạng như sau:

GET /userinfo HTTP/1.1
Host: myservice.example.com
Authorization: Bearer ACCESS_TOKEN

Để điểm cuối userinfo xử lý các yêu cầu, hãy làm theo các bước sau:

Trích xuất mã truy cập từ tiêu đề Uỷ quyền và trả về thông tin cho người dùng được liên kết với mã truy cập.
Nếu mã truy cập không hợp lệ, hãy trả về lỗi HTTP 401 unauthorized (Không được phép sử dụng tiêu đề phản hồi WWW-Authenticate). Dưới đây là ví dụ về phản hồi khi xảy ra lỗi thông tin người dùng:
```
HTTP/1.1 401 Unauthorized
WWW-Authenticate: error="invalid_token",
error_description="The Access Token expired"
```
Nếu phản hồi 401 Trái phép hoặc bất kỳ lỗi không thành công nào khác được trả về trong quá trình liên kết, thì lỗi này sẽ không khôi phục được, mã thông báo đã truy xuất sẽ bị loại bỏ và người dùng sẽ phải bắt đầu lại quy trình liên kết.

Nếu mã truy cập hợp lệ, hãy trả về và phản hồi HTTP 200 kèm theo đối tượng JSON sau trong phần nội dung của HTTPS trả lời:

{
"sub": "USER_UUID",
"email": "EMAIL_ADDRESS",
"given_name": "FIRST_NAME",
"family_name": "LAST_NAME",
"name": "FULL_NAME",
"picture": "PROFILE_PICTURE",
}

Nếu điểm cuối userinfo của bạn trả về phản hồi thành công HTTP 200, thì mã thông báo và các thông báo xác nhận quyền sở hữu đã truy xuất sẽ được đăng ký vào Tài khoản Google của người dùng.

phản hồi của thiết bị đầu cuối userinfo
`sub`	Mã nhận dạng duy nhất giúp nhận dạng người dùng trong hệ thống của bạn.
`email`	Địa chỉ email của người dùng.
`given_name`	Không bắt buộc: Tên của người dùng.
`family_name`	Không bắt buộc: Họ của người dùng.
`name`	Không bắt buộc: Tên đầy đủ của người dùng.
`picture`	Không bắt buộc: Ảnh hồ sơ của người dùng.

Xác thực quá trình triển khai

Bạn có thể xác thực việc triển khai bằng cách sử dụng công cụ OAuth 2.0 Playground.

Trong công cụ này, hãy thực hiện các bước sau:

Nhấp vào Configuration để mở cửa sổ OAuth 2.0 Configuration (Cấu hình OAuth 2.0).
Trong trường OAuth flow (Quy trình OAuth), hãy chọn Client-side (Phía máy khách).
Trong trường OAuth Endpoints (Điểm cuối OAuth), hãy chọn Custom (Tuỳ chỉnh).
Chỉ định điểm cuối OAuth 2.0 và mã ứng dụng khách mà bạn đã chỉ định cho Google trong các trường tương ứng.
Trong phần Step 1 (Bước 1), đừng chọn phạm vi nào của Google. Thay vào đó, hãy để trống trường này hoặc nhập một phạm vi hợp lệ cho máy chủ của bạn (hoặc một chuỗi tuỳ ý nếu bạn không sử dụng phạm vi OAuth). Khi hoàn tất, hãy nhấp vào Authorize APIs (Cấp quyền cho API).
Trong phần Step 2 (Bước 2) và Step 3 (Bước 3), hãy thực hiện quy trình OAuth 2.0 và xác minh rằng mỗi bước đều hoạt động như dự kiến.

Bạn có thể xác thực việc triển khai bằng cách sử dụng công cụ Google Account Linking Demo.