OAuth를 사용한 Google 계정 연결

계정은 업계 표준 OAuth 2.0 암시적 및 승인 코드 흐름을 사용하여 연결됩니다. 서비스에서 OAuth 2.0을 준수하는 승인 및 토큰 교환 엔드포인트를 지원해야 합니다.

암시적 흐름에서는 Google이 사용자의 브라우저에서 승인 엔드포인트를 엽니다. 성공적으로 로그인하면 장기 액세스 토큰을 Google에 반환합니다. 이제 이 액세스 토큰은 Google에서 보내는 모든 요청에 포함됩니다.

승인 코드 흐름에서는 2개의 엔드포인트가 필요합니다.

• 승인 엔드포인트: 아직 로그인하지 않은 사용자에게 로그인 UI를 표시합니다. 또한 승인 엔드포인트는 요청된 액세스에 대한 사용자 동의를 기록하기 위해 단기 승인 코드를 생성합니다.

• 두 가지 유형의 교환을 담당하는 토큰 교환 엔드포인트:

  1. 장기 갱신 토큰과 단기 액세스 토큰의 승인 코드를 교환합니다. 이 교환은 사용자가 계정 연결 흐름을 거칠 때 발생합니다.
  2. 수명이 긴 갱신 토큰을 단기 액세스 토큰으로 교환합니다. 이 교환은 Google에서 액세스 토큰이 만료되어 새 액세스 토큰이 필요한 경우 발생합니다.

OAuth 2.0 흐름 선택

암시적 흐름은 구현하기가 더 간단하지만 암시적 흐름에서 생성된 액세스 토큰은 만료되지 않는 것이 좋습니다. 이는 암시적 흐름으로 토큰이 만료된 후 사용자가 계정을 다시 연결해야 하기 때문입니다. 보안상의 이유로 토큰 만료가 필요하다면 승인 코드 흐름을 사용하는 것이 좋습니다.

참고: 다음 버튼을 사용하여 구현할 OAuth 2.0 흐름을 선택하세요. 필요한 경우 이 가이드의 내용이 선택한 대로 새로고침됩니다.

암시적 흐름 승인 코드

디자인 가이드라인

이 섹션에서는 OAuth 연결 흐름에서 호스팅하는 사용자 화면의 설계 요구사항과 권장사항을 설명합니다. 앱에서 앱에서 호출한 후에는 플랫폼에서 Google 로그인 및 계정 연결 동의 화면을 사용자에게 표시합니다. 사용자가 계정 연결에 동의한 후 Google 앱으로 다시 연결됩니다.

그림 1. 사용자가 Google 및 동의 화면에 로그인하는 계정

요구사항

1. 사용자의 계정이 Google Home 또는 Google 어시스턴트와 같은 특정 Google 제품이 아닌 Google에 연결된다고 전달해야 합니다.

권장사항

다음을 수행하는 것이 좋습니다.

1. Google 개인정보처리방침 표시. 동의 화면에 Google 개인정보처리방침 링크를 포함하세요.

2. 공유할 데이터. Google에 필요한 데이터와 그 이유를 사용자에게 명확하고 간결하게 안내합니다.

3. 명확한 클릭 유도문안. 동의 화면에 '동의 및 연결'과 같은 명확한 클릭 유도 문구를 표시하세요. 계정을 연결하려면 사용자가 Google과 어떤 데이터를 공유해야 하는지 파악해야 하기 때문입니다.

4. 취소 기능. 사용자가 연결하지 않기로 선택한 경우 뒤로 돌아가거나 취소할 수 있는 방법을 제공합니다.

5. 로그인 프로세스를 지웁니다. 사용자 이름과 비밀번호 필드 또는 Google 계정으로 로그인과 같은 Google 계정 로그인 방법이 명확해야 합니다.

6. 연결 해제 기능. 사용자가 연결 해제할 수 있는 메커니즘(예: 플랫폼의 계정 설정 URL)을 제공합니다. 또는 사용자가 연결된 계정을 관리할 수 있는 Google 계정 링크를 포함할 수 있습니다.

7. 사용자 계정 변경 기능. 사용자에게 계정을 전환하는 방법을 제안합니다. 사용자가 여러 계정을 보유하는 경우 특히 유용합니다.

   • 사용자가 동의 화면을 닫아 계정을 전환해야 하는 경우 OAuth 연결 및 암시적 절차로 원하는 계정에 로그인할 수 있도록 복구 가능한 오류를 Google에 전송하세요.

8. 로고를 포함합니다. 동의 화면에 회사 로고를 표시합니다. 스타일 가이드라인을 사용해 로고를 배치하세요. Google의 로고도 표시하려면 로고 및 상표를 참조하세요.

그림 2. 사용자가 Google에 로그인하고 동의 화면을 표시하기 위한 디자인 가이드라인입니다.

프로젝트 만들기

참고: 기존 프로젝트를 재사용할 수 있으며 주로 계정 연결을 위해 새 프로젝트를 만들 필요가 없습니다.

계정 연결을 사용할 프로젝트를 만들려면 다음 단계를 따르세요.

1. Go to the Google API Console.
2. 프로젝트 생성을 클릭 하십시오 .
3. 이름을 입력하거나 생성 된 제안을 수락하십시오.
4. 나머지 필드를 확인하거나 편집하십시오.
5. 작성을 클릭 하십시오 .

프로젝트 ID를 보려면

1. Go to the Google API Console.
2. 방문 페이지의 표에서 프로젝트를 찾으십시오. 프로젝트 ID가 ID 열에 나타납니다.

OAuth 동의 화면 구성

Google 계정 연결 프로세스에는 사용자에게 데이터 액세스를 요청하는 애플리케이션, 요청하는 데이터의 종류, 적용되는 약관을 알리는 동의 화면이 포함됩니다. Google API 클라이언트 ID를 생성하기 전에 OAuth 동의 화면을 구성해야 합니다.

1. Google API 콘솔의 OAuth 동의 화면 페이지를 엽니다.
2. 메시지가 표시되면 방금 만든 프로젝트를 선택합니다.

3. 'OAuth 동의 화면' 페이지에서 양식을 작성하고 '저장' 버튼을 클릭합니다.

   애플리케이션 이름: 동의를 요청하는 애플리케이션의 이름입니다. 이름은 애플리케이션을 정확하게 반영해야 하며 사용자가 다른 곳에서 보는 애플리케이션 이름과 일치해야 합니다. 계정 연결 동의 화면에 애플리케이션 이름이 표시됩니다.

   애플리케이션 로고: 사용자가 앱을 알아보는 데 도움이 되는 동의 화면의 이미지입니다. 계정 연결 동의 화면과 계정 설정에 로고가 표시됩니다.

   지원 이메일: 사용자가 동의에 대한 질문을 하기 위해 연락하는 데 사용됩니다.

   Google API의 범위: 범위를 통해 애플리케이션에서 사용자의 비공개 Google 데이터에 액세스할 수 있습니다. Google 계정 연결 사용 사례의 경우 기본 범위 (이메일, 프로필, openid)로 충분하므로 민감한 범위를 추가할 필요가 없습니다. 일반적으로 사전에 요청하는 대신 액세스가 필요할 때 점진적으로 범위를 요청하는 것이 좋습니다. 자세히 알아보기

   승인된 도메인: 나와 내 사용자를 보호하기 위해 Google은 OAuth를 사용하여 인증하는 애플리케이션만 승인된 도메인을 사용하도록 허용합니다. 애플리케이션의 링크는 승인된 도메인에서 호스팅되어야 합니다. 자세히 알아보기

   애플리케이션 홈페이지 링크: 애플리케이션의 홈페이지입니다. 승인된 도메인에서 호스팅되어야 합니다.

   애플리케이션 개인정보처리방침 링크: Google 계정 연결 동의 화면에 표시됩니다. 승인된 도메인에서 호스팅되어야 합니다.

   애플리케이션 서비스 약관 링크 (선택사항): 승인된 도메인에서 호스팅되어야 합니다.

   

   그림 1. 가상 애플리케이션인 Tunery의 Google 계정 연결 동의 화면

4. '인증 상태'를 확인하고 신청서에 인증이 필요하면 '인증을 위해 제출' 버튼을 클릭하여 인증 신청서를 제출합니다. 자세한 내용은 OAuth 인증 요구사항을 참고하세요.

OAuth 서버 구현

To support the OAuth 2.0 implicit flow, your service makes an authorization endpoint available by HTTPS. This endpoint is responsible for authentication and obtaining consent from users for data access. The authorization endpoint presents a sign-in UI to your users that aren't already signed in and records consent to the requested access.

When a Google application needs to call one of your service's authorized APIs, Google uses this endpoint to get permission from your users to call these APIs on their behalf.

A typical OAuth 2.0 implicit flow session initiated by Google has the following flow:

1. Google opens your authorization endpoint in the user's browser. The user signs in, if not signed in already, and grants Google permission to access their data with your API, if they haven't already granted permission.
2. Your service creates an access token and returns it to Google. To do so, redirect the user's browser back to Google with the access token attached to the request.
3. Google calls your service's APIs and attaches the access token with each request. Your service verifies that the access token grants Google authorization to access the API and then completes the API call.

Handle authorization requests

When a Google application needs to perform account linking via an OAuth 2.0 implicit flow, Google sends the user to your authorization endpoint with a request that includes the following parameters:

Authorization endpoint parameters
client_id	The client ID you assigned to Google.
redirect_uri	The URL to which you send the response to this request.
state	A bookkeeping value that is passed back to Google unchanged in the redirect URI.
response_type	The type of value to return in the response. For the OAuth 2.0 implicit flow, the response type is always token.
user_locale	The Google Account language setting in RFC5646 format used to localize your content in the user's preferred language.

For example, if your authorization endpoint is available at https://myservice.example.com/auth, a request might look like the following:

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token&user_locale=LOCALE

For your authorization endpoint to handle sign-in requests, do the following steps:

1. Verify the client_id and redirect_uri values to prevent granting access to unintended or misconfigured client apps:

   • Confirm that the client_id matches the client ID you assigned to Google.
   • Confirm that the URL specified by the redirect_uri parameter has the following form:

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
     https://oauth-redirect-sandbox.googleusercontent.com/r/YOUR_PROJECT_ID
     

2. Check if the user is signed in to your service. If the user isn't signed in, complete your service's sign-in or sign-up flow.

3. Generate an access token for Google to use to access your API. The access token can be any string value, but it must uniquely represent the user and the client the token is for and must not be guessable.

4. Send an HTTP response that redirects the user's browser to the URL specified by the redirect_uri parameter. Include all of the following parameters in the URL fragment:

   • access_token: The access token you just generated
   • token_type: The string bearer
   • state: The unmodified state value from the original request

   The following is an example of the resulting URL:

   https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING

Google's OAuth 2.0 redirect handler receives the access token and confirms that the state value hasn't changed. After Google has obtained an access token for your service, Google attaches the token to subsequent calls to your service APIs.

사용자 정보 요청 처리

사용자 정보 엔드 포인트는 의 OAuth 2.0 보호 자원입니다 링크 된 사용자에 대한 반환 청구가. 다음 사용 사례를 제외하고 userinfo 끝점을 구현하고 호스팅하는 것은 선택 사항입니다.

• 계정 로그인을 링크 된 구글 하나의 탭으로.
• 마찰이 가입 AndroidTV합니다.

토큰 엔드포인트에서 액세스 토큰이 성공적으로 검색되면 Google은 연결된 사용자에 대한 기본 프로필 정보를 검색하기 위해 userinfo 엔드포인트에 요청을 보냅니다.

userinfo 엔드포인트 요청 헤더
Authorization header	Bearer 유형의 액세스 토큰입니다.

예를 들어, 사용자 정보 엔드 포인트에서 사용할 수있는 경우 https://myservice.example.com/userinfo , 요청은 다음과 같습니다

GET /userinfo HTTP/1.1
Host: myservice.example.com
Authorization: Bearer ACCESS_TOKEN

userinfo 엔드포인트가 요청을 처리하도록 하려면 다음 단계를 수행하십시오.

1. Authorization 헤더에서 액세스 토큰을 추출하고 액세스 토큰과 연결된 사용자에 대한 정보를 반환합니다.
2. 액세스 토큰이 유효하지 않은 경우, 사용을 가진 HTTP 401 권한 오류를 반환 WWW-Authenticate 응답 헤더. 다음은 사용자 정보 오류 응답의 예는 다음과

   HTTP/1.1 401 Unauthorized
   WWW-Authenticate: error="invalid_token",
   error_description="The Access Token expired"
   

   무단 또는 다른 실패 오류 응답이 연결 과정에서 리턴된다 (401), 오류가 복구 불가능한 될 경우, 검색된 토큰이 폐기되며 사용자가있을 것이다 연결 프로세스를 다시 시작합니다.

3. 액세스 토큰이 유효, 반환 및 HTTPS 응답의 본문에 다음과 같은 JSON 객체와 HTTP 200 응답의 경우 :

   {
   "sub": "USER_UUID",
   "email": "EMAIL_ADDRESS",
   "given_name": "FIRST_NAME",
   "family_name": "LAST_NAME",
   "name": "FULL_NAME",
   "picture": "PROFILE_PICTURE",
   }
   

   당신의 사용자 정보 엔드 포인트가 다시 표시 HTTP 200 성공 응답하는 경우는, 토큰 검색 및 청구은 사용자의 Google에 등록 계정.

   사용자 정보 끝점 응답
   sub	시스템에서 사용자를 식별하는 고유 ID입니다.
   email	사용자의 이메일 주소입니다.
   given_name	옵션 : 사용자의 성.
   family_name	옵션 : 사용자의 성.
   name	옵션 : 사용자의 전체 이름입니다.
   picture	옵션 : 사용자의 프로필 사진.

구현 확인

당신은 사용하여 구현을 확인할 수 의 OAuth 2.0 놀이터 도구를.

도구에서 다음 단계를 수행합니다.

1. 구성을 클릭 의 OAuth 2.0 구성 창을 엽니 다.
2. 의 OAuth 흐름 필드에 클라이언트 측을 선택합니다.
3. OAuth를 엔드 포인트 필드에서 사용자 지정을 선택합니다.
4. 해당 필드에 OAuth 2.0 엔드포인트와 Google에 할당한 클라이언트 ID를 지정합니다.
5. 1 단계 섹션에서 모든 Google 범위를 선택하지 마십시오. 대신 이 필드를 비워 두거나 서버에 유효한 범위를 입력하십시오(OAuth 범위를 사용하지 않는 경우 임의의 문자열). 작업이 완료되면, API 승인을 클릭합니다.
6. 단계 2 및 단계 3 부에서의 OAuth 2.0 유동 통과 의도 한대로 각 단계가 제대로 작동하는지 확인.

당신은 사용하여 구현을 검증 할 수 있습니다 구글 계정에 연결하면 데모 도구를.

도구에서 다음 단계를 수행합니다.

1. 로그인 구글 버튼을 클릭합니다.
2. 연결할 계정을 선택합니다.
3. 서비스 ID를 입력합니다.
4. 선택적으로 액세스를 요청할 하나 이상의 범위를 입력합니다.
5. 시작 데모를 클릭합니다.
6. 메시지가 표시되면 연결 요청에 동의하고 거부할 수 있는지 확인합니다.
7. 플랫폼으로 리디렉션되었는지 확인합니다.