Trang này đề cập đến một số phương pháp chung hay nhất để tích hợp với OAuth 2.0. Hãy cân nhắc những phương pháp hay nhất này cùng với mọi hướng dẫn cụ thể dành cho loại ứng dụng và nền tảng phát triển của bạn. Ngoài ra, hãy tham khảo lời khuyên để ứng dụng của bạn sẵn sàng phát hành chính thức và các chính sách về OAuth 2.0 của Google.
Xử lý an toàn thông tin xác thực của ứng dụng
Thông tin xác thực của ứng dụng OAuth giúp xác định danh tính của ứng dụng nên bạn cần xử lý cẩn thận. Chỉ lưu trữ các thông tin xác thực này trong bộ nhớ an toàn, ví dụ: sử dụng một trình quản lý bí mật như Google Cloud Secret Manager. Không mã hoá cứng thông tin xác thực, cam kết với kho lưu trữ mã hoặc xuất bản công khai.
Xử lý mã thông báo của người dùng một cách an toàn
Mã thông báo người dùng bao gồm cả mã làm mới và mã truy cập mà ứng dụng của bạn sử dụng. Lưu trữ mã thông báo một cách an toàn ở trạng thái tĩnh và không bao giờ truyền các mã này dưới dạng văn bản thuần tuý. Sử dụng một hệ thống lưu trữ an toàn phù hợp với nền tảng của bạn, chẳng hạn như Kho khoá trên Android, Dịch vụ chuỗi khoá trên iOS và macOS hoặc Kho khoá thông tin xác thực trên Windows.
Thu hồi mã thông báo ngay khi không còn cần thiết nữa và xoá vĩnh viễn mã thông báo khỏi hệ thống của bạn.
Ngoài ra, hãy cân nhắc sử dụng các phương pháp hay nhất sau đây cho nền tảng của bạn:
- Đối với các ứng dụng phía máy chủ lưu trữ mã thông báo cho nhiều người dùng, hãy mã hoá các mã đó khi lưu trữ và đảm bảo rằng kho dữ liệu của bạn không thể truy cập công khai trên Internet.
- Đối với các ứng dụng gốc dành cho máy tính, bạn nên sử dụng giao thức Khoá bằng chứng cho Trao đổi mã (PKCE) để lấy mã uỷ quyền có thể đổi lấy mã truy cập.
Xử lý việc thu hồi và hết hạn mã làm mới
Nếu ứng dụng của bạn đã yêu cầu mã làm mới để truy cập khi không có mạng, thì bạn cũng phải xử lý trường hợp vô hiệu hoá hoặc hết hạn của mã. Mã thông báo có thể không hợp lệ vì nhiều lý do, chẳng hạn như mã thông báo có thể đã hết hạn hoặc người dùng hoặc một quy trình tự động có thể đã thu hồi quyền truy cập ứng dụng của bạn. Trong trường hợp này, hãy cân nhắc kỹ phản hồi của ứng dụng, bao gồm cả nhắc người dùng vào lần đăng nhập tiếp theo hoặc dọn dẹp dữ liệu của họ. Để nhận thông báo về việc thu hồi mã thông báo, hãy tích hợp với dịch vụ Bảo vệ nhiều tài khoản.
Sử dụng ủy quyền gia tăng
Hãy dùng tính năng uỷ quyền gia tăng để yêu cầu phạm vi OAuth phù hợp khi ứng dụng cần chức năng.
Bạn không nên yêu cầu quyền truy cập vào dữ liệu khi người dùng xác thực lần đầu, trừ trường hợp việc đó cần thiết cho chức năng cốt lõi của ứng dụng. Thay vào đó, hãy chỉ yêu cầu các phạm vi cụ thể cần thiết cho một tác vụ, theo nguyên tắc chọn phạm vi nhỏ nhất và hạn chế nhất có thể.
Hãy luôn yêu cầu phạm vi theo bối cảnh để giúp người dùng hiểu lý do ứng dụng của bạn yêu cầu quyền truy cập và cách dữ liệu sẽ được sử dụng.
Ví dụ: ứng dụng của bạn có thể tuân theo mô hình sau:
- Người dùng xác thực với ứng dụng của bạn
- Bạn không cần thêm phạm vi nào. Ứng dụng cung cấp chức năng cơ bản để người dùng khám phá và sử dụng các tính năng không yêu cầu quyền truy cập hay dữ liệu bổ sung.
- Người dùng chọn một tính năng cần quyền truy cập vào dữ liệu bổ sung
- Ứng dụng của bạn đưa ra yêu cầu uỷ quyền cho phạm vi OAuth cụ thể này theo yêu cầu đối với tính năng này. Nếu tính năng này yêu cầu nhiều phạm vi, hãy làm theo các phương pháp hay nhất dưới đây.
- Nếu người dùng từ chối yêu cầu, ứng dụng sẽ tắt tính năng và cung cấp cho người dùng ngữ cảnh bổ sung để yêu cầu quyền truy cập lại.
Xử lý sự đồng ý cho nhiều phạm vi
Khi yêu cầu nhiều phạm vi cùng một lúc, người dùng có thể không cấp được tất cả phạm vi OAuth mà bạn đã yêu cầu. Ứng dụng của bạn phải xử lý việc từ chối phạm vi bằng cách tắt chức năng có liên quan.
Nếu chức năng cơ bản của ứng dụng cần có nhiều phạm vi, hãy giải thích điều này cho người dùng trước khi nhắc họ đồng ý.
Bạn chỉ có thể nhắc lại người dùng sau khi họ đã cho biết rõ ý định sử dụng tính năng cụ thể cần phạm vi. Ứng dụng của bạn phải cung cấp cho người dùng bối cảnh và lý do phù hợp trước khi yêu cầu phạm vi OAuth.
Bạn nên giảm thiểu số phạm vi mà ứng dụng yêu cầu cùng một lúc. Thay vào đó, hãy sử dụng lệnh uỷ quyền gia tăng để yêu cầu phạm vi theo tính năng và chức năng.
Sử dụng trình duyệt an toàn
Trên web, chỉ được thực hiện các yêu cầu cấp quyền cho OAuth 2.0 trên các trình duyệt web có đầy đủ tính năng. Trên các nền tảng khác, hãy nhớ chọn đúng loại ứng dụng OAuth và tích hợp OAuth cho phù hợp với nền tảng của bạn. Không chuyển hướng yêu cầu qua các môi trường duyệt web được nhúng, bao gồm cả WebView trên nền tảng di động, chẳng hạn như WebView trên Android hoặc WKWebView trên iOS. Thay vào đó, hãy sử dụng thư viện OAuth gốc hoặc tính năng Đăng nhập bằng Google cho nền tảng của bạn.
Tạo và định cấu hình thủ công cho ứng dụng OAuth
Để ngăn chặn hành vi sai trái, bạn không được tạo hoặc sửa đổi ứng dụng OAuth theo phương thức lập trình. Bạn phải sử dụng Google Developers Console để xác nhận rõ ràng điều khoản dịch vụ, định cấu hình ứng dụng OAuth và chuẩn bị xác minh OAuth.
Đối với quy trình công việc tự động, hãy cân nhắc sử dụng tài khoản dịch vụ.