پیوند حساب Google با OAuth

حساب‌ها با استفاده از استاندارد صنعتی OAuth 2.0 ضمنی و جریان‌های کد مجوز مرتبط هستند. سرویس شما باید از مجوز سازگار با OAuth 2.0 و نقاط پایانی تبادل رمز پشتیبانی کند.

In the implicit flow, Google opens your authorization endpoint in the user's browser. After successful sign in, you return a long-lived access token to Google. This access token is now included in every request sent from Google.

In the authorization code flow, you need two endpoints:

  • The authorization endpoint, which presents the sign-in UI to your users that aren't already signed in. The authorization endpoint also creates a short-lived authorization code to record users' consent to the requested access.

  • The token exchange endpoint, which is responsible for two types of exchanges:

    1. Exchanges an authorization code for a long-lived refresh token and a short-lived access token. This exchange happens when the user goes through the account linking flow.
    2. Exchanges a long-lived refresh token for a short-lived access token. This exchange happens when Google needs a new access token because the one it had expired.

Choose an OAuth 2.0 flow

Although the implicit flow is simpler to implement, Google recommends that access tokens issued by the implicit flow never expire. This is because the user is forced to link their account again after a token expires with the implicit flow. If you need token expiration for security reasons, we strongly recommend that you use the authorization code flow instead.

Design guidelines

This section describes the design requirements and recommendations for the user screen that you host for OAuth linking flows. After it's called by Google's app, your platform displays a sign in to Google page and account linking consent screen to the user. The user is directed back to Google's app after giving their consent to link accounts.

This figure shows the steps for a user to link their Google account to your authentication system. The first screenshot shows user-initiated linking from your platform. The second image shows user sign-in to Google, while the third shows the user consent and confirmation for linking their Google account with your app. The final screenshot shows a successfully linked user account in the Google app.
Figure 1. Account linking user sign in to Google and consent screens.

Requirements

  1. You must communicate that the user’s account will be linked to Google, not a specific Google product like Google Home or Google Assistant.

Recommendations

We recommend that you do the following:

  1. Display Google's Privacy Policy. Include a link to Google’s Privacy Policy on the consent screen.

  2. Data to be shared. Use clear and concise language to tell the user what data of theirs Google requires and why.

  3. Clear call-to-action. State a clear call-to-action on your consent screen, such as “Agree and link.” This is because users need to understand what data they're required to share with Google to link their accounts.

  4. Ability to cancel. Provide a way for users to go back or cancel, if they choose not to link.

  5. Clear sign-in process. Ensure that users have clear method for signing in to their Google account, such as fields for their username and password or Sign in with Google.

  6. Ability to unlink. Offer a mechanism for users to unlink, such as a URL to their account settings on your platform. Alternatively, you can include a link to Google Account where users can manage their linked account.

  7. Ability to change user account. Suggest a method for users to switch their account(s). This is especially beneficial if users tend to have multiple accounts.

    • If a user must close the consent screen to switch accounts, send a recoverable error to Google so the user can sign in to the desired account with OAuth linking and the implicit flow.

  8. Include your logo. Display your company logo on the consent screen. Use your style guidelines to place your logo. If you wish to also display Google's logo, see Logos and trademarks.

پروژه را ایجاد کنید

برای ایجاد پروژه خود برای استفاده از پیوند حساب:

  2. روی ایجاد پروژه کلیک کنید.
  3. یک نام وارد کنید یا پیشنهاد ایجاد شده را بپذیرید.
  4. فیلدهای باقی مانده را تأیید یا ویرایش کنید.
  5. روی ایجاد کلیک کنید.

برای مشاهده ID پروژه خود:

  2. پروژه خود را در جدول در صفحه فرود پیدا کنید. شناسه پروژه در ستون ID ظاهر می شود.

فرآیند پیوند دادن حساب Google شامل یک صفحه رضایت است که به کاربران برنامه‌ای که درخواست دسترسی به داده‌هایشان را درخواست می‌کند، نوع داده‌هایی را که درخواست می‌کنند و شرایطی که اعمال می‌شود، می‌گوید. قبل از ایجاد شناسه سرویس گیرنده Google API، باید صفحه رضایت OAuth خود را پیکربندی کنید.

  1. صفحه نمایش رضایت OAuth کنسول Google APIs را باز کنید.
  2. در صورت درخواست، پروژه ای را که ایجاد کرده اید انتخاب کنید.

  3. در صفحه «صفحه رضایت OAuth»، فرم را پر کنید و روی دکمه «ذخیره» کلیک کنید.

    نام برنامه: نام درخواستی که درخواست رضایت می کند. نام باید دقیقاً منعکس کننده برنامه شما باشد و با نام برنامه ای که کاربران در جاهای دیگر می بینند سازگار باشد. نام برنامه در صفحه رضایت پیوند حساب نشان داده می شود.

    لوگوی برنامه: تصویری در صفحه رضایت که به کاربران کمک می کند برنامه شما را تشخیص دهند. نشان‌واره در صفحه رضایت پیوند حساب و در تنظیمات حساب نشان داده می‌شود

    ایمیل پشتیبانی: برای اینکه کاربران با سؤالاتی در مورد رضایت خود با شما تماس بگیرند.

    Scopes for Google API: Scopes به برنامه شما اجازه می دهد تا به داده های Google خصوصی کاربر شما دسترسی داشته باشد. برای مورد استفاده از پیوند حساب Google، محدوده پیش‌فرض (ایمیل، نمایه، openid) کافی است، نیازی به افزودن دامنه‌های حساس ندارید. به طور کلی بهترین روش این است که دامنه ها را به صورت تدریجی، در زمانی که دسترسی لازم است، درخواست کنید، نه از قبل. بیشتر بدانید .

    دامنه‌های مجاز: برای محافظت از شما و کاربرانتان، Google فقط به برنامه‌هایی که با استفاده از OAuth احراز هویت می‌شوند اجازه استفاده از دامنه‌های مجاز را می‌دهد. پیوندهای برنامه های شما باید در دامنه های مجاز میزبانی شوند. بیشتر بدانید .

    پیوند صفحه اصلی برنامه: صفحه اصلی برنامه شما. باید در یک دامنه مجاز میزبانی شود.

    پیوند خط‌مشی رازداری برنامه: در صفحه رضایت پیوند دادن حساب Google نشان داده می‌شود. باید در یک دامنه مجاز میزبانی شود.

    پیوند شرایط خدمات برنامه (اختیاری): باید در یک دامنه مجاز میزبانی شود.

    شکل 1 . صفحه رضایت پیوند دادن حساب Google برای یک برنامه ساختگی، Tunery

  4. «وضعیت تأیید» را علامت بزنید، اگر برنامه شما نیاز به تأیید دارد، روی دکمه «ارسال برای تأیید» کلیک کنید تا درخواست خود را برای تأیید ارسال کنید. برای جزئیات به الزامات تأیید OAuth مراجعه کنید.

سرور OAuth خود را پیاده سازی کنید

اجرای سرور OAuth 2.0 از جریان کد مجوز شامل دو نقطه پایانی است که سرویس شما توسط HTTPS در دسترس قرار می گیرد. اولین نقطه پایانی، نقطه پایانی مجوز است که مسئول یافتن یا کسب رضایت از کاربران برای دسترسی به داده است. نقطه پایانی مجوز یک رابط کاربری برای ورود به سیستم به کاربرانی که قبلاً وارد سیستم نشده‌اند ارائه می‌کند و رضایت را برای دسترسی درخواستی ثبت می‌کند. نقطه پایانی دوم نقطه پایانی تبادل توکن است که برای به دست آوردن رشته های رمزگذاری شده به نام توکن استفاده می شود که به کاربر اجازه دسترسی به سرویس شما را می دهد.

هنگامی که یک برنامه Google نیاز به تماس با یکی از APIهای سرویس شما دارد، Google از این نقاط پایانی با هم استفاده می کند تا از کاربران شما اجازه بگیرد تا از طرف آنها با این APIها تماس بگیرد.

یک جلسه جریان کد مجوز OAuth 2.0 که توسط Google آغاز شده است دارای جریان زیر است:

  1. Google نقطه پایانی مجوز شما را در مرورگر کاربر باز می کند. اگر جریان در یک دستگاه فقط صوتی برای یک Action شروع شود، Google اجرا را به تلفن منتقل می‌کند.
  2. اگر کاربر قبلاً وارد سیستم نشده باشد، وارد سیستم می‌شود، و به Google اجازه می‌دهد تا با API شما به داده‌های خود دسترسی داشته باشد، اگر قبلاً اجازه نداده باشد.
  3. سرویس شما یک کد مجوز ایجاد می کند و آن را به Google برمی گرداند. برای انجام این کار، مرورگر کاربر را با کد مجوز پیوست شده به درخواست به Google هدایت کنید.
  4. Google کد مجوز را به نقطه پایانی تبادل رمز شما می‌فرستد، که صحت کد را تأیید می‌کند و یک نشانه دسترسی و یک نشانه تازه‌سازی را برمی‌گرداند. نشانه دسترسی یک توکن کوتاه مدت است که سرویس شما آن را به عنوان اعتبار برای دسترسی به APIها می پذیرد. توکن رفرش یک توکن با عمر طولانی است که گوگل می تواند آن را ذخیره کرده و از آن برای بدست آوردن توکن های دسترسی جدید پس از انقضا استفاده کند.
  5. پس از تکمیل جریان پیوند حساب توسط کاربر، هر درخواست بعدی که از Google ارسال می‌شود حاوی یک نشانه دسترسی است.

رسیدگی به درخواست های مجوز

هنگامی که باید پیوند حساب را با استفاده از جریان کد مجوز OAuth 2.0 انجام دهید، Google کاربر را با درخواستی که شامل پارامترهای زیر است به نقطه پایانی مجوز شما می فرستد:

پارامترهای نقطه پایانی مجوز
client_id شناسه مشتری که به Google اختصاص داده اید.
redirect_uri آدرس اینترنتی که پاسخ این درخواست را به آن ارسال می کنید.
state یک مقدار حسابداری که بدون تغییر در URI تغییر مسیر به Google بازگردانده می شود.
scope اختیاری: مجموعه‌ای از رشته‌های محدوده محدود شده با فاصله که داده‌هایی را که Google برای آن درخواست مجوز می‌کند مشخص می‌کند.
response_type نوع مقداری که باید در پاسخ برگردانده شود. برای جریان کد مجوز OAuth 2.0، نوع پاسخ همیشه code است.
user_locale تنظیم زبان حساب Google در قالب RFC5646 ، برای بومی سازی محتوای شما به زبان دلخواه کاربر استفاده می شود.

به عنوان مثال، اگر نقطه پایانی مجوز شما در https://myservice.example.com/auth موجود باشد، ممکن است یک درخواست به شکل زیر باشد:

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&scope=REQUESTED_SCOPES&response_type=code&user_locale=LOCALE

برای اینکه نقطه پایانی مجوز شما به درخواست‌های ورود به سیستم رسیدگی کند، مراحل زیر را انجام دهید:

  1. بررسی کنید که client_id با شناسه مشتری که به Google اختصاص داده اید مطابقت داشته باشد و redirect_uri با URL تغییر مسیر ارائه شده توسط Google برای سرویس شما مطابقت داشته باشد. این بررسی ها برای جلوگیری از اعطای دسترسی به برنامه های مشتری ناخواسته یا پیکربندی نادرست مهم هستند. اگر از چند جریان OAuth 2.0 پشتیبانی می کنید، همچنین تأیید کنید که response_type code است.
  2. بررسی کنید که آیا کاربر به سرویس شما وارد شده است یا خیر. اگر کاربر وارد سیستم نشده است، جریان ورود به سیستم یا ثبت نام سرویس خود را تکمیل کنید.
  3. یک کد مجوز برای Google ایجاد کنید تا از آن برای دسترسی به API شما استفاده کند. کد مجوز می‌تواند هر مقدار رشته‌ای باشد، اما باید به‌طور منحصربه‌فرد نشان‌دهنده کاربر، کلاینت توکن و زمان انقضای کد باشد، و نباید قابل حدس زدن باشد. شما معمولاً کدهای مجوز صادر می کنید که پس از تقریباً 10 دقیقه منقضی می شوند.
  4. تأیید کنید که URL مشخص شده توسط پارامتر redirect_uri شکل زیر را دارد: 
      https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
  https://oauth-redirect-sandbox.googleusercontent.com/r/YOUR_PROJECT_ID
  5. مرورگر کاربر را به URL مشخص شده توسط پارامتر redirect_uri هدایت کنید. هنگام تغییر مسیر با افزودن code و پارامترهای state ، کد مجوزی را که به تازگی ایجاد کرده‌اید و مقدار حالت اصلی و اصلاح نشده را وارد کنید. مثال زیر نمونه ای از URL به دست آمده است: 
    https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID?code=AUTHORIZATION_CODE&state=STATE_STRING

رسیدگی به درخواست های مبادله توکن

نقطه پایانی تبادل توکن سرویس شما مسئول دو نوع مبادله توکن است:

  • کدهای مجوز را برای توکن های دسترسی و رفرش کردن نشانه ها مبادله کنید
  • توکن‌های تازه‌سازی را برای توکن‌های دسترسی مبادله کنید

درخواست های مبادله توکن شامل پارامترهای زیر است:

پارامترهای نقطه پایانی تبادل توکن
client_id رشته ای که مبدا درخواست را به عنوان Google مشخص می کند. این رشته باید در سیستم شما به عنوان شناسه منحصر به فرد Google ثبت شود.
client_secret یک رشته مخفی که در Google برای سرویس خود ثبت کرده اید.
grant_type نوع توکن رد و بدل شده این یا authorization_code یا refresh_token است.
code وقتی grant_type=authorization_code ، این پارامتر کدی است که Google از نقطه پایانی ورود به سیستم یا تبادل رمز شما دریافت کرده است.
redirect_uri وقتی grant_type=authorization_code ، این پارامتر URL مورد استفاده در درخواست مجوز اولیه است.
refresh_token هنگامی که grant_type=refresh_token ، این پارامتر نشانه تازه‌سازی است که Google از نقطه پایانی تبادل توکن شما دریافت کرده است.
کدهای مجوز را برای توکن های دسترسی و رفرش کردن نشانه ها مبادله کنید

پس از اینکه کاربر وارد سیستم شد و نقطه پایان مجوز شما یک کد مجوز کوتاه مدت را به Google برگرداند، Google درخواستی را به نقطه پایانی مبادله رمز شما ارسال می‌کند تا کد مجوز را با یک نشانه دسترسی و یک نشانه تازه‌سازی مبادله کند.

برای این درخواست‌ها، مقدار grant_type authorization_code است و مقدار code مقدار کد مجوزی است که قبلاً به Google داده‌اید. در زیر نمونه ای از درخواست مبادله یک کد مجوز برای یک نشانه دسترسی و یک نشانه تازه سازی است:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&grant_type=authorization_code&code=AUTHORIZATION_CODE&redirect_uri=REDIRECT_URI

برای مبادله کدهای مجوز برای یک نشانه دسترسی و یک نشانه رفرش، نقطه پایانی تبادل توکن شما با اجرای مراحل زیر به درخواست‌های POST پاسخ می‌دهد:

  1. بررسی کنید که client_id مبدا درخواست را به عنوان یک منبع مجاز شناسایی می کند، و اینکه client_secret با مقدار مورد انتظار مطابقت دارد.
  2. بررسی کنید که کد مجوز معتبر است و منقضی نشده است و شناسه مشتری مشخص شده در درخواست با شناسه مشتری مرتبط با کد مجوز مطابقت دارد.
  3. تأیید کنید که URL مشخص شده توسط پارامتر redirect_uri با مقدار مورد استفاده در درخواست مجوز اولیه یکسان است.
  4. اگر نمی‌توانید همه معیارهای بالا را تأیید کنید، یک خطای HTTP 400 Bad Request را با {"error": "invalid_grant"} به عنوان متن بازگردانید.
  5. در غیر این صورت، از شناسه کاربری موجود در کد مجوز برای ایجاد یک نشانه تازه‌سازی و یک نشانه دسترسی استفاده کنید. این توکن‌ها می‌توانند هر مقدار رشته‌ای باشند، اما باید به‌طور منحصربه‌فرد نشان‌دهنده کاربر و مشتری‌ای باشند که توکن برای آن است، و نباید قابل حدس زدن باشند. برای توکن‌های دسترسی، زمان انقضای توکن را نیز ثبت کنید، که معمولاً یک ساعت پس از صدور توکن است. نشانه‌های Refresh منقضی نمی‌شوند.
  6. شی JSON زیر را در بدنه پاسخ HTTPS برگردانید: 
    {
"token_type": "Bearer",
"access_token": "ACCESS_TOKEN",
"refresh_token": "REFRESH_TOKEN",
"expires_in": SECONDS_TO_EXPIRATION
}

گوگل توکن دسترسی و نشانه رفرش را برای کاربر ذخیره می کند و انقضای نشانه دسترسی را ثبت می کند. هنگامی که نشانه دسترسی منقضی می‌شود، Google از نشانه تازه‌سازی برای دریافت رمز دسترسی جدید از نقطه پایانی تبادل توکن شما استفاده می‌کند.

توکن‌های تازه‌سازی را برای توکن‌های دسترسی مبادله کنید

هنگامی که یک نشانه دسترسی منقضی می‌شود، Google درخواستی را به نقطه پایانی تبادل توکن شما می‌فرستد تا یک نشانه تازه‌سازی را با یک نشانه دسترسی جدید مبادله کند.

برای این درخواست‌ها، مقدار grant_type refresh_token است و مقدار refresh_token ، مقدار نشانه‌ی تازه‌سازی است که قبلاً به Google داده‌اید. در زیر نمونه ای از درخواست مبادله یک نشانه رفرش با یک توکن دسترسی است:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&grant_type=refresh_token&refresh_token=REFRESH_TOKEN

برای مبادله یک نشانه رفرش با یک نشانه دسترسی، نقطه پایانی تبادل توکن شما با اجرای مراحل زیر به درخواست‌های POST پاسخ می‌دهد:

  1. بررسی کنید که client_id مبدا درخواست را به عنوان Google شناسایی می‌کند، و اینکه client_secret با مقدار مورد انتظار مطابقت دارد.
  2. بررسی کنید که کد بازخوانی معتبر است، و شناسه مشتری مشخص شده در درخواست با شناسه مشتری مرتبط با نشانه بازخوانی مطابقت دارد.
  3. اگر نمی‌توانید همه معیارهای بالا را تأیید کنید، یک خطای HTTP 400 Bad Request را با {"error": "invalid_grant"} به عنوان متن بازگردانید.
  4. در غیر این صورت، از شناسه کاربری موجود در نشانه رفرش برای ایجاد یک نشانه دسترسی استفاده کنید. این توکن‌ها می‌توانند هر مقدار رشته‌ای باشند، اما باید به‌طور منحصربه‌فرد نشان‌دهنده کاربر و مشتری‌ای باشند که توکن برای آن است، و نباید قابل حدس زدن باشند. برای توکن‌های دسترسی، زمان انقضای توکن را نیز ثبت کنید، معمولاً یک ساعت پس از صدور توکن.
  5. شی JSON زیر را در بدنه پاسخ HTTPS برگردانید:
    {
"token_type": "Bearer",
"access_token": " ACCESS_TOKEN ",
"expires_in": SECONDS_TO_EXPIRATION
}
رسیدگی به درخواست های اطلاعات کاربر

نقطه پایانی userinfo یک منبع محافظت شده OAuth 2.0 است که ادعاهای مربوط به کاربر پیوند شده را برمی‌گرداند. پیاده سازی و میزبانی نقطه پایانی اطلاعات کاربر اختیاری است، به جز موارد استفاده زیر:

پس از اینکه رمز دسترسی با موفقیت از نقطه پایانی نشانه شما بازیابی شد، Google درخواستی را به نقطه پایانی اطلاعات کاربری شما ارسال می کند تا اطلاعات نمایه اولیه کاربر پیوند داده شده را بازیابی کند.

سرصفحه های درخواست نقطه پایانی کاربر
Authorization header نشانه دسترسی از نوع Bearer.

به عنوان مثال، اگر نقطه پایانی اطلاعات کاربری شما در https://myservice.example.com/userinfo در دسترس باشد، ممکن است یک درخواست به شکل زیر باشد:

GET /userinfo HTTP/1.1
Host: myservice.example.com
Authorization: Bearer ACCESS_TOKEN

برای اینکه نقطه پایانی اطلاعات کاربری شما به درخواست‌ها رسیدگی کند، مراحل زیر را انجام دهید:

  1. رمز دسترسی را از سربرگ Authorization استخراج کنید و اطلاعات کاربر مرتبط با نشانه دسترسی را برگردانید.
  2. اگر رمز دسترسی نامعتبر است، با استفاده از سربرگ پاسخ WWW-Authenticate خطای غیرمجاز HTTP 401 را برگردانید. در زیر نمونه ای از پاسخ خطای userinfo آورده شده است:
    HTTP/1.1 401 Unauthorized
WWW-Authenticate: error="invalid_token",
error_description="The Access Token expired"
    اگر یک پاسخ خطای 401 غیرمجاز یا هر پاسخ خطای ناموفق دیگری در طول فرآیند پیوند داده شود، خطا غیرقابل بازیابی خواهد بود، رمز بازیابی شده کنار گذاشته می شود و کاربر باید دوباره فرآیند پیوند را آغاز کند.

  3. اگر نشانه دسترسی معتبر است، پاسخ HTTP 200 را با شی JSON زیر در بدنه پاسخ HTTPS برگردانید:

    {
"sub": "USER_UUID",
"email": "EMAIL_ADDRESS",
"given_name": "FIRST_NAME",
"family_name": "LAST_NAME",
"name": "FULL_NAME",
"picture": "PROFILE_PICTURE",
}
     اگر نقطه پایانی اطلاعات کاربری شما یک پاسخ موفقیت آمیز HTTP 200 برگرداند، رمز بازیابی شده و ادعاها در برابر حساب Google کاربر ثبت می شود.

    پاسخ نقطه پایانی اطلاعات کاربر
    sub یک شناسه منحصر به فرد که کاربر را در سیستم شما شناسایی می کند.
    email آدرس ایمیل کاربر.
    given_name اختیاری: نام کاربر.
    family_name اختیاری: نام خانوادگی کاربر.
    name اختیاری: نام کامل کاربر.
    picture اختیاری: تصویر نمایه کاربر.

اعتبار بخشیدن به اجرای شما

می‌توانید اجرای خود را با استفاده از ابزار OAuth 2.0 Playground تأیید کنید.

در ابزار، مراحل زیر را انجام دهید:

  1. روی پیکربندی کلیک کنید تا پنجره OAuth 2.0 Configuration باز شود.
  2. در قسمت جریان OAuth ، سمت مشتری را انتخاب کنید.
  3. در قسمت OAuth Endpoints ، سفارشی را انتخاب کنید.
  4. نقطه پایانی OAuth 2.0 و شناسه مشتری که به Google اختصاص داده اید را در فیلدهای مربوطه مشخص کنید.
  5. در بخش Step 1 ، هیچ حوزه Google را انتخاب نکنید. در عوض، این فیلد را خالی بگذارید یا یک محدوده معتبر برای سرور خود تایپ کنید (یا یک رشته دلخواه اگر از دامنه های OAuth استفاده نمی کنید). وقتی کارتان تمام شد، روی Authorize APIs کلیک کنید.
  6. در بخش‌های Step 2 و Step 3 ، جریان OAuth 2.0 را طی کنید و بررسی کنید که هر مرحله طبق برنامه کار می‌کند.

می‌توانید اجرای خود را با استفاده از ابزار نمایشی پیوند حساب Google تأیید کنید.

در ابزار، مراحل زیر را انجام دهید:

  1. روی دکمه Sign-in with Google کلیک کنید.
  2. حسابی را که می‌خواهید پیوند دهید انتخاب کنید.
  3. شناسه سرویس را وارد کنید.
  4. به صورت اختیاری یک یا چند محدوده را وارد کنید که درخواست دسترسی به آنها را دارید.
  5. روی Start Demo کلیک کنید.
  6. هنگامی که از شما خواسته شد، تأیید کنید که ممکن است با درخواست پیوند موافقت کنید و آن را رد کنید.
  7. تأیید کنید که به پلتفرم خود هدایت شده اید.
،

حساب‌ها با استفاده از استاندارد صنعتی OAuth 2.0 ضمنی و جریان‌های کد مجوز مرتبط هستند. سرویس شما باید از مجوز سازگار با OAuth 2.0 و نقاط پایانی تبادل رمز پشتیبانی کند.

In the implicit flow, Google opens your authorization endpoint in the user's browser. After successful sign in, you return a long-lived access token to Google. This access token is now included in every request sent from Google.

In the authorization code flow, you need two endpoints:

  • The authorization endpoint, which presents the sign-in UI to your users that aren't already signed in. The authorization endpoint also creates a short-lived authorization code to record users' consent to the requested access.

  • The token exchange endpoint, which is responsible for two types of exchanges:

    1. Exchanges an authorization code for a long-lived refresh token and a short-lived access token. This exchange happens when the user goes through the account linking flow.
    2. Exchanges a long-lived refresh token for a short-lived access token. This exchange happens when Google needs a new access token because the one it had expired.

Choose an OAuth 2.0 flow

Although the implicit flow is simpler to implement, Google recommends that access tokens issued by the implicit flow never expire. This is because the user is forced to link their account again after a token expires with the implicit flow. If you need token expiration for security reasons, we strongly recommend that you use the authorization code flow instead.

Design guidelines

This section describes the design requirements and recommendations for the user screen that you host for OAuth linking flows. After it's called by Google's app, your platform displays a sign in to Google page and account linking consent screen to the user. The user is directed back to Google's app after giving their consent to link accounts.

This figure shows the steps for a user to link their Google account to your authentication system. The first screenshot shows user-initiated linking from your platform. The second image shows user sign-in to Google, while the third shows the user consent and confirmation for linking their Google account with your app. The final screenshot shows a successfully linked user account in the Google app.
Figure 1. Account linking user sign in to Google and consent screens.

Requirements

  1. You must communicate that the user’s account will be linked to Google, not a specific Google product like Google Home or Google Assistant.

Recommendations

We recommend that you do the following:

  1. Display Google's Privacy Policy. Include a link to Google’s Privacy Policy on the consent screen.

  2. Data to be shared. Use clear and concise language to tell the user what data of theirs Google requires and why.

  3. Clear call-to-action. State a clear call-to-action on your consent screen, such as “Agree and link.” This is because users need to understand what data they're required to share with Google to link their accounts.

  4. Ability to cancel. Provide a way for users to go back or cancel, if they choose not to link.

  5. Clear sign-in process. Ensure that users have clear method for signing in to their Google account, such as fields for their username and password or Sign in with Google.

  6. Ability to unlink. Offer a mechanism for users to unlink, such as a URL to their account settings on your platform. Alternatively, you can include a link to Google Account where users can manage their linked account.

  7. Ability to change user account. Suggest a method for users to switch their account(s). This is especially beneficial if users tend to have multiple accounts.

    • If a user must close the consent screen to switch accounts, send a recoverable error to Google so the user can sign in to the desired account with OAuth linking and the implicit flow.

  8. Include your logo. Display your company logo on the consent screen. Use your style guidelines to place your logo. If you wish to also display Google's logo, see Logos and trademarks.

پروژه را ایجاد کنید

برای ایجاد پروژه خود برای استفاده از پیوند حساب:

  2. روی ایجاد پروژه کلیک کنید.
  3. یک نام وارد کنید یا پیشنهاد ایجاد شده را بپذیرید.
  4. فیلدهای باقی مانده را تأیید یا ویرایش کنید.
  5. روی ایجاد کلیک کنید.

برای مشاهده ID پروژه خود:

  2. پروژه خود را در جدول در صفحه فرود پیدا کنید. شناسه پروژه در ستون ID ظاهر می شود.

فرآیند پیوند دادن حساب Google شامل یک صفحه رضایت است که به کاربران برنامه‌ای که درخواست دسترسی به داده‌هایشان را درخواست می‌کند، نوع داده‌هایی را که درخواست می‌کنند و شرایطی که اعمال می‌شود، می‌گوید. قبل از ایجاد شناسه سرویس گیرنده Google API، باید صفحه رضایت OAuth خود را پیکربندی کنید.

  1. صفحه نمایش رضایت OAuth کنسول Google APIs را باز کنید.
  2. در صورت درخواست، پروژه ای را که ایجاد کرده اید انتخاب کنید.

  3. در صفحه «صفحه رضایت OAuth»، فرم را پر کنید و روی دکمه «ذخیره» کلیک کنید.

    نام برنامه: نام درخواستی که درخواست رضایت می کند. نام باید دقیقاً منعکس کننده برنامه شما باشد و با نام برنامه ای که کاربران در جاهای دیگر می بینند سازگار باشد. نام برنامه در صفحه رضایت پیوند حساب نشان داده می شود.

    لوگوی برنامه: تصویری در صفحه رضایت که به کاربران کمک می کند برنامه شما را تشخیص دهند. نشان‌واره در صفحه رضایت پیوند حساب و در تنظیمات حساب نشان داده می‌شود

    ایمیل پشتیبانی: برای اینکه کاربران با سؤالاتی در مورد رضایت خود با شما تماس بگیرند.

    Scopes for Google API: Scopes به برنامه شما اجازه می دهد تا به داده های Google خصوصی کاربر شما دسترسی داشته باشد. برای مورد استفاده از پیوند حساب Google، محدوده پیش‌فرض (ایمیل، نمایه، openid) کافی است، نیازی به افزودن دامنه‌های حساس ندارید. به طور کلی بهترین روش این است که دامنه ها را به صورت تدریجی، در زمانی که دسترسی لازم است، درخواست کنید، نه از قبل. بیشتر بدانید .

    دامنه‌های مجاز: برای محافظت از شما و کاربرانتان، Google فقط به برنامه‌هایی که با استفاده از OAuth احراز هویت می‌شوند اجازه استفاده از دامنه‌های مجاز را می‌دهد. پیوندهای برنامه های شما باید در دامنه های مجاز میزبانی شوند. بیشتر بدانید .

    پیوند صفحه اصلی برنامه: صفحه اصلی برنامه شما. باید در یک دامنه مجاز میزبانی شود.

    پیوند خط‌مشی رازداری برنامه: در صفحه رضایت پیوند دادن حساب Google نشان داده می‌شود. باید در یک دامنه مجاز میزبانی شود.

    پیوند شرایط خدمات برنامه (اختیاری): باید در یک دامنه مجاز میزبانی شود.

    شکل 1 . صفحه رضایت پیوند دادن حساب Google برای یک برنامه ساختگی، Tunery

  4. «وضعیت تأیید» را علامت بزنید، اگر برنامه شما نیاز به تأیید دارد، روی دکمه «ارسال برای تأیید» کلیک کنید تا درخواست خود را برای تأیید ارسال کنید. برای جزئیات به الزامات تأیید OAuth مراجعه کنید.

سرور OAuth خود را پیاده سازی کنید

اجرای سرور OAuth 2.0 از جریان کد مجوز شامل دو نقطه پایانی است که سرویس شما توسط HTTPS در دسترس قرار می گیرد. اولین نقطه پایانی، نقطه پایانی مجوز است که مسئول یافتن یا کسب رضایت از کاربران برای دسترسی به داده است. نقطه پایانی مجوز یک رابط کاربری برای ورود به سیستم به کاربرانی که قبلاً وارد سیستم نشده‌اند ارائه می‌کند و رضایت را برای دسترسی درخواستی ثبت می‌کند. نقطه پایانی دوم نقطه پایانی تبادل توکن است که برای به دست آوردن رشته های رمزگذاری شده به نام توکن استفاده می شود که به کاربر اجازه دسترسی به سرویس شما را می دهد.

هنگامی که یک برنامه Google نیاز به تماس با یکی از APIهای سرویس شما دارد، Google از این نقاط پایانی با هم استفاده می کند تا از کاربران شما اجازه بگیرد تا از طرف آنها با این APIها تماس بگیرد.

یک جلسه جریان کد مجوز OAuth 2.0 که توسط Google آغاز شده است دارای جریان زیر است:

  1. Google نقطه پایانی مجوز شما را در مرورگر کاربر باز می کند. اگر جریان در یک دستگاه فقط صوتی برای یک Action شروع شود، Google اجرا را به تلفن منتقل می‌کند.
  2. اگر کاربر قبلاً وارد سیستم نشده باشد، وارد سیستم می‌شود، و به Google اجازه می‌دهد تا با API شما به داده‌های خود دسترسی داشته باشد، اگر قبلاً اجازه نداده باشد.
  3. سرویس شما یک کد مجوز ایجاد می کند و آن را به Google برمی گرداند. برای انجام این کار، مرورگر کاربر را با کد مجوز پیوست شده به درخواست به Google هدایت کنید.
  4. Google کد مجوز را به نقطه پایانی تبادل رمز شما می‌فرستد، که صحت کد را تأیید می‌کند و یک نشانه دسترسی و یک نشانه تازه‌سازی را برمی‌گرداند. نشانه دسترسی یک توکن کوتاه مدت است که سرویس شما آن را به عنوان اعتبار برای دسترسی به APIها می پذیرد. توکن رفرش یک توکن با عمر طولانی است که گوگل می تواند آن را ذخیره کرده و از آن برای بدست آوردن توکن های دسترسی جدید پس از انقضا استفاده کند.
  5. پس از تکمیل جریان پیوند حساب توسط کاربر، هر درخواست بعدی که از Google ارسال می‌شود حاوی یک نشانه دسترسی است.

رسیدگی به درخواست های مجوز

هنگامی که باید پیوند حساب را با استفاده از جریان کد مجوز OAuth 2.0 انجام دهید، Google کاربر را با درخواستی که شامل پارامترهای زیر است به نقطه پایانی مجوز شما می فرستد:

پارامترهای نقطه پایانی مجوز
client_id شناسه مشتری که به Google اختصاص داده اید.
redirect_uri آدرس اینترنتی که پاسخ این درخواست را به آن ارسال می کنید.
state یک مقدار حسابداری که بدون تغییر در URI تغییر مسیر به Google بازگردانده می شود.
scope اختیاری: مجموعه‌ای از رشته‌های محدوده محدود شده با فاصله که داده‌هایی را که Google برای آن درخواست مجوز می‌کند مشخص می‌کند.
response_type نوع مقداری که باید در پاسخ برگردانده شود. برای جریان کد مجوز OAuth 2.0، نوع پاسخ همیشه code است.
user_locale تنظیم زبان حساب Google در قالب RFC5646 ، برای بومی سازی محتوای شما به زبان دلخواه کاربر استفاده می شود.

به عنوان مثال، اگر نقطه پایانی مجوز شما در https://myservice.example.com/auth موجود باشد، ممکن است یک درخواست به شکل زیر باشد:

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&scope=REQUESTED_SCOPES&response_type=code&user_locale=LOCALE

برای اینکه نقطه پایانی مجوز شما به درخواست‌های ورود به سیستم رسیدگی کند، مراحل زیر را انجام دهید:

  1. بررسی کنید که client_id با شناسه مشتری که به Google اختصاص داده اید مطابقت داشته باشد و redirect_uri با URL تغییر مسیر ارائه شده توسط Google برای سرویس شما مطابقت داشته باشد. این بررسی ها برای جلوگیری از اعطای دسترسی به برنامه های مشتری ناخواسته یا پیکربندی نادرست مهم هستند. اگر از چند جریان OAuth 2.0 پشتیبانی می کنید، همچنین تأیید کنید که response_type code است.
  2. بررسی کنید که آیا کاربر به سرویس شما وارد شده است یا خیر. اگر کاربر وارد سیستم نشده است، جریان ورود به سیستم یا ثبت نام سرویس خود را تکمیل کنید.
  3. یک کد مجوز برای Google ایجاد کنید تا از آن برای دسترسی به API شما استفاده کند. کد مجوز می‌تواند هر مقدار رشته‌ای باشد، اما باید به‌طور منحصربه‌فرد نشان‌دهنده کاربر، کلاینت توکن و زمان انقضای کد باشد، و نباید قابل حدس زدن باشد. شما معمولاً کدهای مجوز صادر می کنید که پس از تقریباً 10 دقیقه منقضی می شوند.
  4. تأیید کنید که URL مشخص شده توسط پارامتر redirect_uri شکل زیر را دارد: 
      https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
  https://oauth-redirect-sandbox.googleusercontent.com/r/YOUR_PROJECT_ID
  5. مرورگر کاربر را به URL مشخص شده توسط پارامتر redirect_uri هدایت کنید. هنگام تغییر مسیر با افزودن code و پارامترهای state ، کد مجوزی را که به تازگی ایجاد کرده‌اید و مقدار حالت اصلی و اصلاح نشده را وارد کنید. مثال زیر نمونه ای از URL به دست آمده است: 
    https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID?code=AUTHORIZATION_CODE&state=STATE_STRING

رسیدگی به درخواست های مبادله توکن

نقطه پایانی تبادل توکن سرویس شما مسئول دو نوع مبادله توکن است:

  • کدهای مجوز را برای توکن های دسترسی و رفرش کردن نشانه ها مبادله کنید
  • توکن‌های تازه‌سازی را برای توکن‌های دسترسی مبادله کنید

درخواست های مبادله توکن شامل پارامترهای زیر است:

پارامترهای نقطه پایانی تبادل توکن
client_id رشته ای که مبدا درخواست را به عنوان Google مشخص می کند. این رشته باید در سیستم شما به عنوان شناسه منحصر به فرد Google ثبت شود.
client_secret یک رشته مخفی که در Google برای سرویس خود ثبت کرده اید.
grant_type نوع توکن رد و بدل شده این یا authorization_code یا refresh_token است.
code وقتی grant_type=authorization_code ، این پارامتر کدی است که Google از نقطه پایانی ورود به سیستم یا تبادل رمز شما دریافت کرده است.
redirect_uri وقتی grant_type=authorization_code ، این پارامتر URL مورد استفاده در درخواست مجوز اولیه است.
refresh_token هنگامی که grant_type=refresh_token ، این پارامتر نشانه تازه‌سازی است که Google از نقطه پایانی تبادل توکن شما دریافت کرده است.
کدهای مجوز را برای توکن های دسترسی و رفرش کردن نشانه ها مبادله کنید

پس از اینکه کاربر وارد سیستم شد و نقطه پایان مجوز شما یک کد مجوز کوتاه مدت را به Google برگرداند، Google درخواستی را به نقطه پایانی مبادله رمز شما ارسال می‌کند تا کد مجوز را با یک نشانه دسترسی و یک نشانه تازه‌سازی مبادله کند.

برای این درخواست‌ها، مقدار grant_type authorization_code است و مقدار code مقدار کد مجوزی است که قبلاً به Google داده‌اید. در زیر نمونه ای از درخواست مبادله یک کد مجوز برای یک نشانه دسترسی و یک نشانه تازه سازی است:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&grant_type=authorization_code&code=AUTHORIZATION_CODE&redirect_uri=REDIRECT_URI

برای مبادله کدهای مجوز برای یک نشانه دسترسی و یک نشانه رفرش، نقطه پایانی تبادل توکن شما با اجرای مراحل زیر به درخواست‌های POST پاسخ می‌دهد:

  1. بررسی کنید که client_id مبدا درخواست را به عنوان یک منبع مجاز شناسایی می کند، و اینکه client_secret با مقدار مورد انتظار مطابقت دارد.
  2. بررسی کنید که کد مجوز معتبر است و منقضی نشده است و شناسه مشتری مشخص شده در درخواست با شناسه مشتری مرتبط با کد مجوز مطابقت دارد.
  3. تأیید کنید که URL مشخص شده توسط پارامتر redirect_uri با مقدار مورد استفاده در درخواست مجوز اولیه یکسان است.
  4. اگر نمی‌توانید همه معیارهای بالا را تأیید کنید، یک خطای HTTP 400 Bad Request را با {"error": "invalid_grant"} به عنوان متن بازگردانید.
  5. در غیر این صورت، از شناسه کاربری موجود در کد مجوز برای ایجاد یک نشانه تازه‌سازی و یک نشانه دسترسی استفاده کنید. این توکن‌ها می‌توانند هر مقدار رشته‌ای باشند، اما باید به‌طور منحصربه‌فرد نشان‌دهنده کاربر و مشتری‌ای باشند که توکن برای آن است، و نباید قابل حدس زدن باشند. برای توکن‌های دسترسی، زمان انقضای توکن را نیز ثبت کنید، که معمولاً یک ساعت پس از صدور توکن است. نشانه‌های Refresh منقضی نمی‌شوند.
  6. شی JSON زیر را در بدنه پاسخ HTTPS برگردانید: 
    {
"token_type": "Bearer",
"access_token": "ACCESS_TOKEN",
"refresh_token": "REFRESH_TOKEN",
"expires_in": SECONDS_TO_EXPIRATION
}

گوگل توکن دسترسی و نشانه رفرش را برای کاربر ذخیره می کند و انقضای نشانه دسترسی را ثبت می کند. هنگامی که نشانه دسترسی منقضی می‌شود، Google از نشانه تازه‌سازی برای دریافت رمز دسترسی جدید از نقطه پایانی تبادل توکن شما استفاده می‌کند.

توکن‌های تازه‌سازی را برای توکن‌های دسترسی مبادله کنید

هنگامی که یک نشانه دسترسی منقضی می‌شود، Google درخواستی را به نقطه پایانی تبادل توکن شما می‌فرستد تا یک نشانه تازه‌سازی را با یک نشانه دسترسی جدید مبادله کند.

برای این درخواست‌ها، مقدار grant_type refresh_token است و مقدار refresh_token ، مقدار نشانه‌ی تازه‌سازی است که قبلاً به Google داده‌اید. در زیر نمونه ای از درخواست مبادله یک نشانه رفرش با یک توکن دسترسی است:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&grant_type=refresh_token&refresh_token=REFRESH_TOKEN

برای مبادله یک نشانه رفرش با یک نشانه دسترسی، نقطه پایانی تبادل توکن شما با اجرای مراحل زیر به درخواست‌های POST پاسخ می‌دهد:

  1. بررسی کنید که client_id مبدا درخواست را به عنوان Google شناسایی می‌کند، و اینکه client_secret با مقدار مورد انتظار مطابقت دارد.
  2. بررسی کنید که کد بازخوانی معتبر است، و شناسه مشتری مشخص شده در درخواست با شناسه مشتری مرتبط با نشانه بازخوانی مطابقت دارد.
  3. اگر نمی‌توانید همه معیارهای بالا را تأیید کنید، یک خطای HTTP 400 Bad Request را با {"error": "invalid_grant"} به عنوان متن بازگردانید.
  4. در غیر این صورت، از شناسه کاربری موجود در نشانه رفرش برای ایجاد یک نشانه دسترسی استفاده کنید. این توکن‌ها می‌توانند هر مقدار رشته‌ای باشند، اما باید به‌طور منحصربه‌فرد نشان‌دهنده کاربر و مشتری‌ای باشند که توکن برای آن است، و نباید قابل حدس زدن باشند. برای توکن‌های دسترسی، زمان انقضای توکن را نیز ثبت کنید، معمولاً یک ساعت پس از صدور توکن.
  5. شی JSON زیر را در بدنه پاسخ HTTPS برگردانید:
    {
"token_type": "Bearer",
"access_token": " ACCESS_TOKEN ",
"expires_in": SECONDS_TO_EXPIRATION
}
رسیدگی به درخواست های اطلاعات کاربر

نقطه پایانی userinfo یک منبع محافظت شده OAuth 2.0 است که ادعاهای مربوط به کاربر پیوند شده را برمی‌گرداند. پیاده سازی و میزبانی نقطه پایانی اطلاعات کاربر اختیاری است، به جز موارد استفاده زیر:

پس از اینکه رمز دسترسی با موفقیت از نقطه پایانی نشانه شما بازیابی شد، Google درخواستی را به نقطه پایانی اطلاعات کاربری شما ارسال می کند تا اطلاعات نمایه اولیه کاربر پیوند داده شده را بازیابی کند.

سرصفحه های درخواست نقطه پایانی کاربر
Authorization header نشانه دسترسی از نوع Bearer.

به عنوان مثال، اگر نقطه پایانی اطلاعات کاربری شما در https://myservice.example.com/userinfo در دسترس باشد، ممکن است یک درخواست به شکل زیر باشد:

GET /userinfo HTTP/1.1
Host: myservice.example.com
Authorization: Bearer ACCESS_TOKEN

برای اینکه نقطه پایانی اطلاعات کاربری شما به درخواست‌ها رسیدگی کند، مراحل زیر را انجام دهید:

  1. رمز دسترسی را از سربرگ Authorization استخراج کنید و اطلاعات کاربر مرتبط با نشانه دسترسی را برگردانید.
  2. اگر رمز دسترسی نامعتبر است، با استفاده از سربرگ پاسخ WWW-Authenticate خطای غیرمجاز HTTP 401 را برگردانید. در زیر نمونه ای از پاسخ خطای userinfo آورده شده است:
    HTTP/1.1 401 Unauthorized
WWW-Authenticate: error="invalid_token",
error_description="The Access Token expired"
    اگر یک پاسخ خطای 401 غیرمجاز یا هر پاسخ خطای ناموفق دیگری در طول فرآیند پیوند داده شود، خطا غیرقابل بازیابی خواهد بود، رمز بازیابی شده کنار گذاشته می شود و کاربر باید دوباره فرآیند پیوند را آغاز کند.

  3. اگر نشانه دسترسی معتبر است، پاسخ HTTP 200 را با شی JSON زیر در بدنه پاسخ HTTPS برگردانید:

    {
"sub": "USER_UUID",
"email": "EMAIL_ADDRESS",
"given_name": "FIRST_NAME",
"family_name": "LAST_NAME",
"name": "FULL_NAME",
"picture": "PROFILE_PICTURE",
}
     اگر نقطه پایانی اطلاعات کاربری شما یک پاسخ موفقیت آمیز HTTP 200 برگرداند، رمز بازیابی شده و ادعاها در برابر حساب Google کاربر ثبت می شود.

    پاسخ نقطه پایانی اطلاعات کاربر
    sub یک شناسه منحصر به فرد که کاربر را در سیستم شما شناسایی می کند.
    email آدرس ایمیل کاربر.
    given_name اختیاری: نام کاربر.
    family_name اختیاری: نام خانوادگی کاربر.
    name اختیاری: نام کامل کاربر.
    picture اختیاری: تصویر نمایه کاربر.

اعتبار بخشیدن به اجرای شما

می‌توانید اجرای خود را با استفاده از ابزار OAuth 2.0 Playground تأیید کنید.

در ابزار، مراحل زیر را انجام دهید:

  1. روی پیکربندی کلیک کنید تا پنجره OAuth 2.0 Configuration باز شود.
  2. در قسمت جریان OAuth ، سمت مشتری را انتخاب کنید.
  3. در قسمت OAuth Endpoints ، سفارشی را انتخاب کنید.
  4. نقطه پایانی OAuth 2.0 و شناسه مشتری که به Google اختصاص داده اید را در فیلدهای مربوطه مشخص کنید.
  5. در بخش Step 1 ، هیچ حوزه Google را انتخاب نکنید. در عوض، این فیلد را خالی بگذارید یا یک محدوده معتبر برای سرور خود تایپ کنید (یا یک رشته دلخواه اگر از دامنه های OAuth استفاده نمی کنید). وقتی کارتان تمام شد، روی Authorize APIs کلیک کنید.
  6. در بخش‌های Step 2 و Step 3 ، جریان OAuth 2.0 را طی کنید و بررسی کنید که هر مرحله طبق برنامه کار می‌کند.

می‌توانید اجرای خود را با استفاده از ابزار نمایشی پیوند حساب Google تأیید کنید.

در ابزار، مراحل زیر را انجام دهید:

  1. روی دکمه Sign-in with Google کلیک کنید.
  2. حسابی را که می‌خواهید پیوند دهید انتخاب کنید.
  3. شناسه سرویس را وارد کنید.
  4. به صورت اختیاری یک یا چند محدوده را وارد کنید که درخواست دسترسی به آنها را دارید.
  5. روی Start Demo کلیک کنید.
  6. هنگامی که از شما خواسته شد، تأیید کنید که ممکن است با درخواست پیوند موافقت کنید و آن را رد کنید.
  7. تأیید کنید که به پلتفرم خود هدایت شده اید.