Tổng quan
Liên kết tinh giản tính năng Đăng nhập bằng Google dựa trên OAuth sẽ thêm tính năng Đăng nhập bằng Google ở đầu Liên kết OAuth. Điều này mang lại trải nghiệm liên kết liền mạch cho Người dùng Google, đồng thời tính năng tạo tài khoản cũng cho phép người dùng tạo tài khoản mới trên dịch vụ của bạn bằng Tài khoản Google của họ.
Để thực hiện liên kết tài khoản bằng OAuth và Đăng nhập bằng Google, hãy làm theo các bước chung sau các bước:
- Trước tiên, hãy yêu cầu người dùng đồng ý truy cập vào hồ sơ trên Google của họ.
- Sử dụng thông tin trong hồ sơ của họ để kiểm tra xem tài khoản người dùng có tồn tại không.
- Đối với người dùng hiện tại, hãy liên kết các tài khoản này.
- Nếu bạn không tìm thấy thông tin trùng khớp với người dùng Google trong hệ thống xác thực của mình, xác thực mã thông báo nhận dạng nhận được từ Google. Sau đó, bạn có thể tạo một báo cáo dựa trên người dùng về thông tin hồ sơ có trong mã thông báo nhận dạng.
Hình 1 Liên kết tài khoản trên điện thoại của người dùng bằng tính năng Liên kết đơn giản
Yêu cầu đối với đường liên kết được tinh giản
- Triển khai quy trình liên kết OAuth cơ bản trên web. Dịch vụ của bạn phải hỗ trợ tuân thủ OAuth 2.0 uỷ quyền và điểm cuối trao đổi mã thông báo.
- Điểm cuối trao đổi mã thông báo của bạn phải hỗ trợ xác nhận Mã thông báo web JSON (JWT) và triển khai các ý định
check
,create
vàget
.
Triển khai máy chủ OAuth
Điểm cuối trao đổi mã thông báo của bạn phải hỗ trợ ý định check
, create
, get
. Dưới đây là các bước đã hoàn tất thông qua quy trình liên kết tài khoản và cho biết thời điểm gọi các ý định khác nhau:
- Người dùng có tài khoản trong hệ thống xác thực của bạn không? (Người dùng quyết định bằng cách chọn CÓ hoặc KHÔNG)
- CÓ : Người dùng có sử dụng email liên kết với Tài khoản Google của họ để đăng nhập vào nền tảng của bạn không? (Người dùng quyết định bằng cách chọn CÓ hoặc KHÔNG)
- CÓ : Người dùng có tài khoản trùng khớp trong hệ thống xác thực của bạn không? (
check intent
được gọi để xác nhận)- CÓ :
get intent
sẽ được gọi và tài khoản sẽ được liên kết nếu nhận được ý định trả về thành công. - KHÔNG : Tạo tài khoản mới? (Người dùng quyết định bằng cách chọn CÓ hoặc KHÔNG)
- CÓ :
create intent
được gọi và tài khoản sẽ được liên kết nếu trả về ý định tạo thành công. - KHÔNG : Luồng OAuth trên web được kích hoạt, người dùng được chuyển hướng đến trình duyệt của họ và người dùng được cung cấp tuỳ chọn liên kết với một email khác.
- CÓ :
- CÓ :
- KHÔNG : Luồng OAuth trên web được kích hoạt, người dùng được chuyển hướng đến trình duyệt của họ và người dùng được chọn liên kết với một email khác.
- CÓ : Người dùng có tài khoản trùng khớp trong hệ thống xác thực của bạn không? (
- KHÔNG : Người dùng có tài khoản trùng khớp trong hệ thống xác thực của bạn không? (
check intent
được gọi để xác nhận)- CÓ :
get intent
sẽ được gọi và tài khoản sẽ được liên kết nếu nhận được ý định trả về thành công. - KHÔNG :
create intent
được gọi và tài khoản sẽ được liên kết nếu trả về ý định tạo thành công.
- CÓ :
- CÓ : Người dùng có sử dụng email liên kết với Tài khoản Google của họ để đăng nhập vào nền tảng của bạn không? (Người dùng quyết định bằng cách chọn CÓ hoặc KHÔNG)
Kiểm tra tài khoản người dùng hiện có (kiểm tra ý định)
Sau khi người dùng đồng ý truy cập vào hồ sơ trên Google của họ, Google sẽ gửi yêu cầu chứa xác nhận có chữ ký về danh tính của người dùng Google. Chiến lược phát hành đĩa đơn xác nhận chứa thông tin bao gồm ID Tài khoản Google của người dùng, tên và địa chỉ email của bạn. Điểm cuối trao đổi mã thông báo được định cấu hình cho dự án sẽ xử lý yêu cầu đó.
Nếu đã có Tài khoản Google tương ứng trong quá trình xác thực
hệ thống, điểm cuối trao đổi mã thông báo của bạn sẽ phản hồi bằng account_found=true
. Nếu
Tài khoản Google không khớp với người dùng hiện có, điểm cuối trao đổi mã thông báo của bạn
trả về lỗi HTTP 404 Not found (Không tìm thấy) với account_found=false
.
Yêu cầu có biểu mẫu sau:
POST /token HTTP/1.1 Host: oauth2.example.com Content-Type: application/x-www-form-urlencoded grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=check&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET
Điểm cuối trao đổi mã thông báo của bạn phải có khả năng xử lý các tham số sau:
Tham số điểm cuối của mã thông báo | |
---|---|
intent |
Đối với các yêu cầu này, giá trị của thông số này là
check . |
grant_type |
Loại mã thông báo đang được trao đổi. Đối với các yêu cầu này,
tham số có giá trị urn:ietf:params:oauth:grant-type:jwt-bearer . |
assertion |
Mã thông báo web JSON (JWT) cung cấp xác nhận có chữ ký của Google danh tính của người dùng. JWT chứa thông tin bao gồm Mã Tài khoản Google, tên và địa chỉ email. |
client_id |
Mã ứng dụng khách mà bạn đã chỉ định cho Google. |
client_secret |
Mật khẩu ứng dụng khách mà bạn đã chỉ định cho Google. |
Để phản hồi các yêu cầu về ý định check
, điểm cuối trao đổi mã thông báo phải thực hiện các bước sau:
- Xác thực và giải mã câu nhận định JWT.
- Kiểm tra xem Tài khoản Google đã có trong hệ thống xác thực của bạn hay chưa.
Validate and decode the JWT assertion
You can validate and decode the JWT assertion by using a JWT-decoding library for your language. Use Google's public keys, available in JWK or PEM formats, to verify the token's signature.
When decoded, the JWT assertion looks like the following example:
{ "sub": "1234567890", // The unique ID of the user's Google Account "iss": "https://accounts.google.com", // The assertion's issuer "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID "iat": 233366400, // Unix timestamp of the assertion's creation time "exp": 233370000, // Unix timestamp of the assertion's expiration time "name": "Jan Jansen", "given_name": "Jan", "family_name": "Jansen", "email": "jan@gmail.com", // If present, the user's email address "email_verified": true, // true, if Google has verified the email address "hd": "example.com", // If present, the host domain of the user's GSuite email address // If present, a URL to user's profile picture "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ", "locale": "en_US" // User's locale, from browser or phone settings }
In addition to verifying the token's signature, verify that the assertion's
issuer (iss
field) is https://accounts.google.com
, that the audience
(aud
field) is your assigned client ID, and that the token has not expired
(exp
field).
Using the email
, email_verified
and hd
fields you can determine if
Google hosts and is authoritative for an email address. In cases where Google is
authoritative the user is currently known to be the legitimate account owner
and you may skip password or other challenges methods. Otherwise, these methods
can be used to verify the account prior to linking.
Cases where Google is authoritative:
email
has a@gmail.com
suffix, this is a Gmail account.email_verified
is true andhd
is set, this is a G Suite account.
Users may register for Google Accounts without using Gmail or G Suite. When
email
does not contain a @gmail.com
suffix and hd
is absent Google is not
authoritative and password or other challenge methods are recommended to verify
the user. email_verified
can also be true as Google initially verified the
user when the Google account was created, however ownership of the third party
email account may have since changed.
Kiểm tra xem Tài khoản Google đã có trong hệ thống xác thực của bạn hay chưa
Kiểm tra xem một trong các điều kiện sau có đúng hay không:
- Mã Tài khoản Google (trong trường
sub
của câu nhận định) nằm trong tài khoản người dùng của bạn cơ sở dữ liệu. - Địa chỉ email trong câu nhận định khớp với một người dùng trong cơ sở dữ liệu người dùng của bạn.
Nếu một trong hai điều kiện đúng, thì người dùng đã đăng ký. Trong trường hợp đó, trả về phản hồi như sau:
HTTP/1.1 200 Success Content-Type: application/json;charset=UTF-8 { "account_found":"true", }
Nếu cả mã Tài khoản Google và địa chỉ email được chỉ định trong
khớp với người dùng trong cơ sở dữ liệu của bạn, người dùng chưa đăng ký. Trong
trong trường hợp này, điểm cuối trao đổi mã thông báo của bạn cần phải trả lời bằng lỗi HTTP 404
chỉ định "account_found": "false"
, như trong ví dụ sau:
HTTP/1.1 404 Not found Content-Type: application/json;charset=UTF-8 { "account_found":"false", }
Xử lý tính năng liên kết tự động (nhận ý định)
Sau khi người dùng đồng ý truy cập vào hồ sơ trên Google của họ, Google sẽ gửi yêu cầu chứa xác nhận có chữ ký về danh tính của người dùng Google. Chiến lược phát hành đĩa đơn xác nhận chứa thông tin bao gồm ID Tài khoản Google của người dùng, tên và địa chỉ email của bạn. Điểm cuối trao đổi mã thông báo được định cấu hình cho dự án sẽ xử lý yêu cầu đó.
Nếu đã có Tài khoản Google tương ứng trong quá trình xác thực
điểm cuối trao đổi mã thông báo của bạn sẽ trả về một mã thông báo cho người dùng. Nếu
Tài khoản Google không khớp với người dùng hiện có, điểm cuối trao đổi mã thông báo của bạn
sẽ trả về lỗi linking_error
và login_hint
tuỳ chọn.
Yêu cầu có biểu mẫu sau:
POST /token HTTP/1.1 Host: oauth2.example.com Content-Type: application/x-www-form-urlencoded grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=get&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET
Điểm cuối trao đổi mã thông báo của bạn phải có khả năng xử lý các tham số sau:
Tham số điểm cuối của mã thông báo | |
---|---|
intent |
Đối với các yêu cầu này, giá trị của tham số này là get . |
grant_type |
Loại mã thông báo đang được trao đổi. Đối với các yêu cầu này,
tham số có giá trị urn:ietf:params:oauth:grant-type:jwt-bearer . |
assertion |
Mã thông báo web JSON (JWT) cung cấp xác nhận có chữ ký của Google danh tính của người dùng. JWT chứa thông tin bao gồm Mã Tài khoản Google, tên và địa chỉ email. |
scope |
Không bắt buộc: Mọi phạm vi mà bạn đã định cấu hình Google để yêu cầu từ đó người dùng. |
client_id |
Mã ứng dụng khách mà bạn đã chỉ định cho Google. |
client_secret |
Mật khẩu ứng dụng khách mà bạn đã chỉ định cho Google. |
Để phản hồi các yêu cầu về ý định get
, điểm cuối trao đổi mã thông báo phải thực hiện các bước sau:
- Xác thực và giải mã câu nhận định JWT.
- Kiểm tra xem Tài khoản Google đã có trong hệ thống xác thực của bạn hay chưa.
Validate and decode the JWT assertion
You can validate and decode the JWT assertion by using a JWT-decoding library for your language. Use Google's public keys, available in JWK or PEM formats, to verify the token's signature.
When decoded, the JWT assertion looks like the following example:
{ "sub": "1234567890", // The unique ID of the user's Google Account "iss": "https://accounts.google.com", // The assertion's issuer "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID "iat": 233366400, // Unix timestamp of the assertion's creation time "exp": 233370000, // Unix timestamp of the assertion's expiration time "name": "Jan Jansen", "given_name": "Jan", "family_name": "Jansen", "email": "jan@gmail.com", // If present, the user's email address "email_verified": true, // true, if Google has verified the email address "hd": "example.com", // If present, the host domain of the user's GSuite email address // If present, a URL to user's profile picture "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ", "locale": "en_US" // User's locale, from browser or phone settings }
In addition to verifying the token's signature, verify that the assertion's
issuer (iss
field) is https://accounts.google.com
, that the audience
(aud
field) is your assigned client ID, and that the token has not expired
(exp
field).
Using the email
, email_verified
and hd
fields you can determine if
Google hosts and is authoritative for an email address. In cases where Google is
authoritative the user is currently known to be the legitimate account owner
and you may skip password or other challenges methods. Otherwise, these methods
can be used to verify the account prior to linking.
Cases where Google is authoritative:
email
has a@gmail.com
suffix, this is a Gmail account.email_verified
is true andhd
is set, this is a G Suite account.
Users may register for Google Accounts without using Gmail or G Suite. When
email
does not contain a @gmail.com
suffix and hd
is absent Google is not
authoritative and password or other challenge methods are recommended to verify
the user. email_verified
can also be true as Google initially verified the
user when the Google account was created, however ownership of the third party
email account may have since changed.
Kiểm tra xem Tài khoản Google đã có trong hệ thống xác thực của bạn hay chưa
Kiểm tra xem một trong các điều kiện sau có đúng hay không:
- Mã Tài khoản Google (trong trường
sub
của câu nhận định) nằm trong tài khoản người dùng của bạn cơ sở dữ liệu. - Địa chỉ email trong câu nhận định khớp với một người dùng trong cơ sở dữ liệu người dùng của bạn.
Nếu tìm thấy tài khoản cho người dùng, hãy cấp mã truy cập và trả về các giá trị trong đối tượng JSON trong phần nội dung của phản hồi HTTPS, như trong ví dụ sau:
{ "token_type": "Bearer", "access_token": "ACCESS_TOKEN", "expires_in": SECONDS_TO_EXPIRATION }
Trong một số trường hợp, người dùng có thể không liên kết được tài khoản dựa trên mã thông báo mã nhận dạng. Nếu
làm như vậy vì bất kỳ lý do gì, điểm cuối trao đổi mã thông báo của bạn cần phải trả lời bằng HTTP
Lỗi 401 chỉ định error=linking_error
, như trong ví dụ sau:
HTTP/1.1 401 Unauthorized Content-Type: application/json;charset=UTF-8 { "error":"linking_error", "login_hint":"foo@bar.com" }
Khi nhận được phản hồi lỗi 401 với linking_error
, Google sẽ gửi
người dùng đến điểm cuối uỷ quyền của bạn bằng tham số login_hint
. Chiến lược phát hành đĩa đơn
người dùng hoàn tất quá trình liên kết tài khoản bằng quy trình liên kết OAuth trong trình duyệt của họ.
Handle account creation via Google Sign-In (create intent)
When a user needs to create an account on your service, Google makes a request
to your token exchange endpoint that specifies intent=create
.
The request has the following form:
POST /token HTTP/1.1 Host: oauth2.example.com Content-Type: application/x-www-form-urlencoded response_type=token&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&scope=SCOPES&intent=create&assertion=JWT&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET
Your token exchange endpoint must able to handle the following parameters:
Token endpoint parameters | |
---|---|
intent |
For these requests, the value of this parameter is create . |
grant_type |
The type of token being exchanged. For these requests, this
parameter has the value urn:ietf:params:oauth:grant-type:jwt-bearer . |
assertion |
A JSON Web Token (JWT) that provides a signed assertion of the Google user's identity. The JWT contains information that includes the user's Google Account ID, name, and email address. |
client_id |
The client ID you assigned to Google. |
client_secret |
The client secret you assigned to Google. |
The JWT within the assertion
parameter contains the user's Google Account ID,
name, and email address, which you can use to create a new account on your
service.
To respond to the create
intent requests, your token exchange endpoint must perform the following steps:
- Validate and decode the JWT assertion.
- Validate user information and create new account.
Validate and decode the JWT assertion
You can validate and decode the JWT assertion by using a JWT-decoding library for your language. Use Google's public keys, available in JWK or PEM formats, to verify the token's signature.
When decoded, the JWT assertion looks like the following example:
{ "sub": "1234567890", // The unique ID of the user's Google Account "iss": "https://accounts.google.com", // The assertion's issuer "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID "iat": 233366400, // Unix timestamp of the assertion's creation time "exp": 233370000, // Unix timestamp of the assertion's expiration time "name": "Jan Jansen", "given_name": "Jan", "family_name": "Jansen", "email": "jan@gmail.com", // If present, the user's email address "email_verified": true, // true, if Google has verified the email address "hd": "example.com", // If present, the host domain of the user's GSuite email address // If present, a URL to user's profile picture "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ", "locale": "en_US" // User's locale, from browser or phone settings }
In addition to verifying the token's signature, verify that the assertion's
issuer (iss
field) is https://accounts.google.com
, that the audience
(aud
field) is your assigned client ID, and that the token has not expired
(exp
field).
Using the email
, email_verified
and hd
fields you can determine if
Google hosts and is authoritative for an email address. In cases where Google is
authoritative the user is currently known to be the legitimate account owner
and you may skip password or other challenges methods. Otherwise, these methods
can be used to verify the account prior to linking.
Cases where Google is authoritative:
email
has a@gmail.com
suffix, this is a Gmail account.email_verified
is true andhd
is set, this is a G Suite account.
Users may register for Google Accounts without using Gmail or G Suite. When
email
does not contain a @gmail.com
suffix and hd
is absent Google is not
authoritative and password or other challenge methods are recommended to verify
the user. email_verified
can also be true as Google initially verified the
user when the Google account was created, however ownership of the third party
email account may have since changed.
Validate user information and create new account
Check whether either of the following conditions are true:
- The Google Account ID, found in the assertion's
sub
field, is in your user database. - The email address in the assertion matches a user in your user database.
If either condition is true, prompt the user to link their existing account
with their Google Account. To do so, respond to the request with an HTTP 401 error
that specifies error=linking_error
and gives the user's email address as the
login_hint
. The following is a sample response:
HTTP/1.1 401 Unauthorized Content-Type: application/json;charset=UTF-8 { "error":"linking_error", "login_hint":"foo@bar.com" }
When Google receives a 401 error response with linking_error
, Google sends
the user to your authorization endpoint with login_hint
as a parameter. The
user completes account linking using the OAuth linking flow in their browser.
If neither condition is true, create a new user account with the information provided in the JWT. New accounts don't typically have a password set. It's recommended that you add Google Sign-In to other platforms to enable users to log in with Google across the surfaces of your application. Alternatively, you can email the user a link that starts your password recovery flow to allow the user to set a password to sign in on other platforms.
When the creation is completed, issue an access token and return the values in a JSON object in the body of your HTTPS response, like in the following example:
{ "token_type": "Bearer", "access_token": "ACCESS_TOKEN", "expires_in": SECONDS_TO_EXPIRATION }
Lấy mã ứng dụng khách Google API của bạn
Bạn sẽ phải cung cấp Mã ứng dụng khách Google API trong quá trình đăng ký tính năng Liên kết tài khoản.
Cách nhận ID ứng dụng API bằng cách sử dụng dự án bạn đã tạo trong khi hoàn tất các bước Liên kết OAuth. Để thực hiện điều này, vui lòng hoàn thành các bước sau:
- Mở trang Thông tin đăng nhập của Bảng điều khiển API của Google.
Tạo hoặc chọn một dự án Google API.
Nếu dự án của bạn không có Mã ứng dụng khách cho Loại ứng dụng web, hãy nhấp vào Tạo thông tin xác thực > Mã ứng dụng OAuth để tạo một mã. Hãy nhớ cung cấp miền trang web của bạn vào hộp Nguồn gốc JavaScript được cho phép. Khi bạn biểu diễn kiểm thử hoặc phát triển cục bộ, bạn phải thêm cả
http://localhost
vàhttp://localhost:<port_number>
vào trường Các nguồn gốc JavaScript được cho phép.
Xác thực quá trình triển khai
You can validate your implementation by using the OAuth 2.0 Playground tool.
In the tool, do the following steps:
- Click Configuration to open the OAuth 2.0 Configuration window.
- In the OAuth flow field, select Client-side.
- In the OAuth Endpoints field, select Custom.
- Specify your OAuth 2.0 endpoint and the client ID you assigned to Google in the corresponding fields.
- In the Step 1 section, don't select any Google scopes. Instead, leave this field blank or type a scope valid for your server (or an arbitrary string if you don't use OAuth scopes). When you're done, click Authorize APIs.
- In the Step 2 and Step 3 sections, go through the OAuth 2.0 flow and verify that each step works as intended.
You can validate your implementation by using the Google Account Linking Demo tool.
In the tool, do the following steps:
- Click the Sign-in with Google button.
- Choose the account you'd like to link.
- Enter the service ID.
- Optionally enter one or more scopes that you will request access for.
- Click Start Demo.
- When prompted, confirm that you may consent and deny the linking request.
- Confirm that you are redirected to your platform.