A suspensão do uso de cookies de terceiros não afeta os fluxos de autorização do usuário, incluindo estes métodos.

Autorizar para Web

Os apps da Web precisam receber um token de acesso para chamar as APIs do Google com segurança.

A biblioteca JavaScript do Google Identity Services oferece suporte à autenticação para login de usuários e autorização para receber um token de acesso para uso com as APIs do Google. A biblioteca é destinada apenas para uso em navegadores.

A autenticação estabelece quem é alguém e é comumente chamada de inscrição ou login do usuário. Autorização é o processo de concessão ou rejeição de acesso a dados ou recursos. Isso inclui conseguir e gerenciar o consentimento do usuário, limitar a quantidade de dados ou recursos compartilhados com escopos e recuperar um token de acesso para usar com as APIs do Google.

Estes guias abordam tópicos de autorização e compartilhamento de dados.

Como a autorização do usuário funciona descreve as etapas individuais da autorização do usuário em detalhes e inclui exemplos da caixa de diálogo do usuário.

Se você precisar de ajuda com a autenticação e de como implementar a inscrição e o login do usuário, consulte Fazer login com o Google.

Essa biblioteca não se destina ao uso com frameworks JavaScript do lado do servidor, como o Node.js, mas sim a biblioteca de cliente Node.js do Google.

O que mudou

Para os usuários, a biblioteca do Google Identity Services oferece várias melhorias de usabilidade em comparação com bibliotecas JavaScript anteriores, incluindo:

  • A autenticação para login do usuário e a autorização para receber um token de acesso para chamar APIs do Google agora têm dois fluxos de usuário separados: um para login e outro para consentimento durante a autorização, com fluxos de usuário separados para diferenciar claramente quem você é do que um app pode fazer.
  • Melhoria na visibilidade e controle granular do compartilhamento de dados durante o consentimento do usuário.
  • Caixas de diálogo pop-up baseadas no navegador para reduzir o atrito e que não exigem que os usuários saiam do site para:
    • receber um token de acesso do Google; ou
    • enviar um código de autorização para sua plataforma de back-end.

Para desenvolvedores, nosso foco tem sido reduzir a complexidade, melhorar a segurança e tornar sua integração o mais rápida e fácil possível. Veja algumas dessas mudanças:

  • A autenticação do usuário para login e a autorização usada para receber um token de acesso para chamar APIs do Google são dois conjuntos distintos e distintos de objetos e métodos do JavaScript. Isso reduz a complexidade e a quantidade de detalhes necessários para implementar a autenticação ou autorização.
  • Uma única biblioteca JavaScript agora é compatível com:
    • Fluxo implícito do OAuth 2.0, usado para obter um token de acesso para uso no navegador
    • Fluxo de código de autorização do OAuth 2.0, também conhecido como acesso off-line, e inicia a entrega segura de um código de autorização para sua plataforma de back-end, em que pode ser trocado por um token de acesso e um token de atualização. Antes, esses fluxos só estavam disponíveis usando várias bibliotecas e chamadas diretas para endpoints OAuth 2.0. Uma única biblioteca reduz o tempo e o esforço de integração, em vez de incluir e aprender várias bibliotecas e conceitos do OAuth 2.0 que você pode focar em uma única interface unificada.
  • A indireção por meio de funções de estilo getter foi removida para simplificar e facilitar a leitura.
  • Ao lidar com respostas de autorização, você escolhe se quer ou não usar uma Promessa para atender a solicitações, em vez de tomar essa decisão por você.
  • A biblioteca de cliente da API do Google para JavaScript foi atualizada com estas mudanças:
    • O módulo gapi.auth2 e os objetos e métodos associados não são mais carregados automaticamente em segundo plano e substituídos por objetos e métodos da biblioteca do Google Identity Services mais explícitos.
    • A atualização automática de tokens de acesso expirados foi removida para melhorar a segurança e o reconhecimento do usuário. Depois que um token de acesso expirar, o app precisará processar respostas de erro da API do Google, solicitar e receber um novo token de acesso válido.
    • Para oferecer uma separação clara dos momentos de autenticação e autorização, simultaneamente o login de um usuário no app e na Conta do Google com a emissão de um token de acesso não é mais permitido. Anteriormente, a solicitação de um token de acesso também conectava usuários à Conta do Google e retornava uma credencial de token de ID JWT para autenticação do usuário.
  • Para aumentar a segurança e a privacidade do usuário, de acordo com as credenciais emitidas para autorização, siga o princípio de privilégio mínimo incluindo apenas um token de acesso e as informações necessárias para gerenciá-lo.