Autorizar para Web

Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Os apps da Web precisam ter um token de acesso para chamar as APIs do Google com segurança.

A biblioteca JavaScript do Google Identity Services é compatível com a autenticação de login do usuário e autorização para receber um token de acesso para uso com as APIs do Google. A biblioteca é destinada apenas para uso em navegadores.

A autenticação estabelece quem é alguém e é comumente chamada de inscrição ou login de usuário. A autorização é o processo de conceder ou rejeitar o acesso a dados ou recursos. Isso inclui receber e gerenciar o consentimento do usuário, limitar a quantidade de dados ou recursos compartilhados com escopos e recuperar um token de acesso para uso com as APIs do Google.

Estes guias abordam tópicos de autorização e compartilhamento de dados.

Como funciona a autorização do usuário, que descreve as etapas individuais da autorização do usuário em detalhes e inclui exemplos de caixas de diálogo de usuários.

Se você precisar de ajuda com a autenticação e como implementar a inscrição e o login de usuários, consulte Fazer login com o Google.

Essa biblioteca não é para ser usada com frameworks de JavaScript do lado do servidor, como o Node.js. Em vez disso, use a biblioteca de cliente do Node.js do Google.

O que mudou

Para os usuários, a biblioteca dos Serviços de Identidade do Google oferece várias melhorias de usabilidade em relação a bibliotecas JavaScript anteriores, incluindo:

  • A autenticação para login do usuário e a autorização para receber um token de acesso para chamar as APIs do Google agora têm dois fluxos de usuário distintos e distintos: um para login e outro para consentimento durante a autorização, com fluxos de usuários separados para diferenciar claramente você e o que um app pode fazer.
  • Melhoramos a visibilidade e o controle granular de compartilhamento de dados durante o consentimento do usuário.
  • Caixas de diálogo pop-up baseadas no navegador para reduzir atritos e que não exigem que os usuários saiam do site para:
    • Receber um token de acesso do Google ou
    • enviar um código de autorização para sua plataforma de back-end.

Para desenvolvedores, nosso foco tem sido reduzir a complexidade, melhorar a segurança e tornar sua integração o mais rápida e fácil possível. Veja algumas dessas mudanças:

  • A autenticação do usuário para login e autorização usada para receber um token de acesso para chamar APIs do Google são dois conjuntos distintos e distintos de objetos e métodos de JavaScript. Isso reduz a complexidade e a quantidade de detalhes necessários para implementar a autenticação ou a autorização.
  • Uma única biblioteca JavaScript agora é compatível com o seguinte:
    • Fluxo implícito do OAuth 2.0, usado para obter um token de acesso para uso no navegador
    • O fluxo de código de autorização do OAuth 2.0, também conhecido como acesso off-line, e inicia com segurança o envio de um código de autorização à sua plataforma de back-end, em que ele pode ser trocado por um token de acesso e um token de atualização. Antes, esses fluxos só estavam disponíveis usando várias bibliotecas e chamadas diretas para endpoints do OAuth 2.0. Uma única biblioteca diminui seu tempo e esforço de integração, em vez de incluir e aprender várias bibliotecas e conceitos do OAuth 2.0 que você pode focar em uma única interface unificada.
  • A indireção por meio das funções de estilo getter foi removida para simplificar e facilitar a leitura.
  • Ao processar as respostas de autorização, você escolhe se quer ou não usar uma promessa para atender a solicitações, em vez de essa decisão ser tomada para você.
  • A biblioteca de cliente de APIs do Google para JavaScript foi atualizada com estas mudanças:
    • O módulo gapi.auth2 e os objetos e métodos associados não são mais carregados automaticamente em segundo plano e foram substituídos por objetos e métodos mais complexos da biblioteca do Google Identity Services.
    • A atualização automática de tokens de acesso expirados foi removida para melhorar a segurança e o reconhecimento do usuário. Depois que um token de acesso expira, o app precisa processar respostas de erro da API do Google, solicitar e receber um novo token de acesso válido.
    • Para oferecer uma separação clara dos momentos de autenticação e autorização, simultaneamente o login de um usuário no seu app e na Conta do Google e a emissão de um token de acesso não é mais compatível. Anteriormente, a solicitação de um token de acesso também fazia o usuário fazer login na Conta do Google e retornava uma credencial de token de ID do JWT para autenticação de usuário.
  • Para aumentar a segurança e privacidade do usuário, de acordo com as credenciais emitidas para autorização, siga o princípio de privilégio mínimo, incluindo apenas um token de acesso e as informações necessárias para gerenciá-lo.