Autorizzazione per il Web

Le app web devono ottenere un token di accesso per chiamare in modo sicuro le API di Google.

La libreria JavaScript dei servizi di identità Google supporta sia l'autenticazione per l'accesso degli utenti sia l'autorizzazione a ottenere un token di accesso da utilizzare con le API di Google. La libreria è destinata esclusivamente all'utilizzo nei browser.

L'autenticazione stabilisce chi è un utente e viene comunemente indicato come registrazione o accesso dell'utente. L'autorizzazione è il processo di concessione o rifiuto dell'accesso a dati o risorse. Sono inclusi l'ottenimento e la gestione del consenso degli utenti, la limitazione della quantità di dati o risorse condivisi con gli ambiti e il recupero di un token di accesso da utilizzare con le API di Google.

Queste guide trattano argomenti relativi all'autorizzazione e alla condivisione dei dati.

Come funziona l'autorizzazione utente descrive in dettaglio i singoli passaggi dell'autorizzazione utente e include esempi di finestre di dialogo utente.

Se hai bisogno di assistenza per l'autenticazione e per l'implementazione della registrazione e dell'accesso degli utenti, consulta la pagina Accedi con Google.

Questa libreria non è destinata all'utilizzo con framework JavaScript lato server come Node.js. Utilizza invece la libreria client Node.js di Google.

Che cosa è cambiato

Per gli utenti, la libreria dei Servizi di identità Google offre numerosi miglioramenti di usabilità rispetto alle precedenti librerie JavaScript, tra cui:

  • L'autenticazione per l'accesso degli utenti e l'autorizzazione per ottenere un token di accesso per chiamare le API di Google ora prevedono due flussi utente separati e distinti: uno per l'accesso e un altro per il consenso durante l'autorizzazione, con flussi utente distinti che consentono di distinguere chiaramente la tua identità da ciò che può fare un'app.
  • Visibilità e controllo granulare della condivisione dei dati durante il consenso dell'utente.
  • Finestre di dialogo popup basate su browser per ridurre gli attriti e che non richiedono agli utenti di uscire dal sito per:
    • ottenere un token di accesso da Google, oppure
    • invia un codice di autorizzazione alla tua piattaforma di backend.

Per gli sviluppatori, il nostro obiettivo è ridurre la complessità, migliorare la sicurezza e rendere l'integrazione il più facile e veloce possibile. Ecco alcune di queste modifiche:

  • L'autenticazione utente per l'accesso e l'autorizzazione utilizzata per ottenere un token di accesso per chiamare le API di Google sono due insiemi separati e distinti di oggetti e metodi JavaScript. Questo riduce la complessità e la quantità di dettagli necessari per implementare l'autenticazione o l'autorizzazione.
  • Una singola libreria JavaScript ora supporta sia:
    • Flusso implicito OAuth 2.0, utilizzato per ottenere un token di accesso da usare nel browser
    • Il flusso del codice di autorizzazione OAuth 2.0, noto anche come accesso offline, avvia l'invio in modo sicuro di un codice di autorizzazione alla tua piattaforma di backend, dove può essere scambiato con un token di accesso e un token di aggiornamento. In precedenza, questi flussi erano disponibili solo utilizzando più librerie e tramite chiamate dirette agli endpoint OAuth 2.0. Una singola libreria riduce i tempi e gli sforzi di integrazione. Anziché includere e apprendere più librerie e concetti di OAuth 2.0, puoi concentrarti su una singola interfaccia unificata.
  • La funzionalità indiretta tramite le funzioni di stile getter è stata rimossa per motivi di semplicità e leggibilità.
  • Quando gestisci le risposte di autorizzazione, scegli se utilizzare o meno una promessa per soddisfare le richieste, anziché prendere questa decisione al posto tuo.
  • La libreria client delle API di Google per JavaScript è stata aggiornata con le seguenti modifiche:
    • il modulo gapi.auth2 e gli oggetti e i metodi associati non vengono più caricati automaticamente per te dietro le quinte e sono stati sostituiti con oggetti e metodi più espliciti delle librerie dei Servizi di identità Google.
    • L'aggiornamento automatico dei token di accesso scaduti è stato rimosso per migliorare la sicurezza e la consapevolezza degli utenti. Dopo la scadenza di un token di accesso, l'app deve gestire le risposte di errore dell'API di Google, richiedere e ottenere un nuovo token di accesso valido.
    • Per consentire una chiara separazione dei momenti di autenticazione e autorizzazione, non è più supportato l'accesso di un utente alla tua app e al suo Account Google e all'emissione di un token di accesso. In precedenza, la richiesta di un token di accesso comportava anche l'accesso degli utenti al loro Account Google e la restituzione di una credenziale del token ID JWT per l'autenticazione utente.
  • Per aumentare la sicurezza e la privacy degli utenti, le credenziali per utente concesse per l'autorizzazione seguono il principio del privilegio minimo includendo solo un token di accesso e le informazioni necessarie per gestirlo.