このページは Cloud Translation API によって翻訳されました。

サーバーサイドアプリでの Google ログイン

ユーザーがオフラインのときにユーザーに代わって Google サービスを使用するには、ハイブリッドサーバー側フローを使用する必要があります。このフローでは、ユーザーが JavaScript API クライアントを使用してクライアント側でアプリを承認し、特別な 1 回限りの認証コードをサーバーに送信します。サーバーはこの 1 回限りのコードを交換して、独自のアクセストークンと更新トークンを Google から取得します。これにより、サーバーが独自の API 呼び出しを行えるようになります。この呼び出しは、ユーザーがオフラインでも行うことができます。この 1 回限りのコードフローには、純粋なサーバーサイドのフローだけでなく、サーバーにアクセストークンを送信することよりもセキュリティ上のメリットがあります。

サーバーサイドアプリケーションのアクセストークンを取得するためのログインフローを以下に示します。

ユーザーが、アプリケーションからクライアントアプリのログインボタンをクリックします。これにより、Google の承認サーバーに承認リクエストが送信されます（1）。

ユーザーがまだこのアプリを承認していない場合は、リクエストによって OAuth 2.0 ダイアログがトリガーされ（2）、スコープにリストされた権限をアプリケーションに付与するよう求めるメッセージがユーザーに表示されます。ユーザーが登録すると、access_token、id_token、ワンタイムコードがクライアントに返されます（3）。

その後、ログインボタンからサーバーにワンタイムコードを送信できます（4）。サーバーがコードを取得した場合、サーバーはそのコードを access_token（5、6）と交換できます。このトークンはサーバーサイドにローカルに保存できます。これにより、サーバーはクライアントから独立して Google API 呼び出しを行うことができます。

最後のステップ（オプション）では、サーバーからクライアントにメッセージを送信し、ユーザーが「完全にログイン」したことを確認します（7）。

ワンタイムコードにはセキュリティ上のメリットがあります。コードを使用する場合、Google は仲介を介さずにトークンをサーバーに直接提供します。コードの漏洩はおすすめしませんが、クライアントシークレットなしでは使用が非常に困難です。クライアントシークレットは厳重に守ってください。

1 回限りのコードフローの実装

Google ログインボタンは、アクセストークンと認証コードの両方を提供します。このコードは、サーバーがアクセストークンを得るために Google のサーバーと交換できる 1 回限りのコードです。

次のサンプルコードは、1 回限りのコードフローを実行する方法を示しています。

ワンタイムコードフローで Google ログインを認証するには、以下を行う必要があります。

ステップ 1: クライアント ID とクライアントシークレットを作成する

クライアント ID とクライアントシークレットを作成するには、Google API Console プロジェクトを作成し、OAuth クライアント ID を設定して、JavaScript 生成元を登録します。

Google API Console に移動します。
プロジェクトのプルダウンから、既存のプロジェクトを選択するか、[新しいプロジェクトを作成] を選択して新しいプロジェクトを作成します。

注: 1 つのプロジェクトで、アプリのすべてのプラットフォームインスタンス（Android、iOS、ウェブなど）を保持し、それぞれに異なるクライアント ID を割り当てます。
サイドバーの [API とサービス] で、[認証情報] を選択し、[同意画面を構成] をクリックします。

メールアドレスを選択し、プロダクト名を指定して [Save] をクリックします。
[認証情報] タブで、[認証情報を作成] プルダウンリストを選択し、[OAuth クライアント ID] を選択します。
[アプリケーションの種類] で、[ウェブアプリケーション] を選択します。

アプリが Google API へのアクセスを許可するオリジンを次のように登録します。送信元は、プロトコル、ホスト名、ポートの一意の組み合わせです。
1. [承認済みの JavaScript 生成元] フィールドに、アプリの生成元を入力します。複数の生成元を入力すると、さまざまなプロトコル、ドメイン、サブドメインでアプリを実行できるようになります。ワイルドカードは使用できません。以下の例では、2 つ目の URL として本番環境の URL を指定できます。
```
http://localhost:8080
https://myproductionurl.example.com
```
2. [承認済みのリダイレクト URI] に値は必要ありません。リダイレクト URI は、JavaScript API では使用されません。
3. [作成] ボタンを押します。
表示される [OAuth クライアント] ダイアログボックスで、クライアント ID をコピーします。クライアント ID を使用すると、有効な Google API にアプリからアクセスできるようになります。

ステップ 2: ページに Google プラットフォームライブラリを追加する

この index.html ウェブページの DOM にスクリプトを挿入する匿名関数を示す次のスクリプトを含めます。

<!-- The top of file index.html -->
<html itemscope itemtype="http://schema.org/Article">
<head>
  <!-- BEGIN Pre-requisites -->
  <script src="//ajax.googleapis.com/ajax/libs/jquery/1.8.2/jquery.min.js">
  </script>
  <script src="https://apis.google.com/js/client:platform.js?onload=start" async defer>
  </script>
  <!-- END Pre-requisites -->

ステップ 3: GoogleAuth オブジェクトを初期化する

auth2 ライブラリを読み込み、gapi.auth2.init() を呼び出して GoogleAuth オブジェクトを初期化します。init() を呼び出すときにクライアント ID とリクエストするスコープを指定します。

<!-- Continuing the <head> section -->
  <script>
    function start() {
      gapi.load('auth2', function() {
        auth2 = gapi.auth2.init({
          client_id: 'YOUR_CLIENT_ID.apps.googleusercontent.com',
          // Scopes to request in addition to 'profile' and 'email'
          //scope: 'additional_scope'
        });
      });
    }
  </script>
</head>
<body>
  <!-- ... -->
</body>
</html>

ステップ 4: ログインボタンをページに追加する

ログインボタンをウェブページに追加し、grantOfflineAccess() を呼び出すクリックハンドラをアタッチして、ワンタイムコードフローを開始します。

<!-- Add where you want your sign-in button to render -->
<!-- Use an image that follows the branding guidelines in a real app -->
<button id="signinButton">Sign in with Google</button>
<script>
  $('#signinButton').click(function() {
    // signInCallback defined in step 6.
    auth2.grantOfflineAccess().then(signInCallback);
  });
</script>

ステップ 5: ユーザーにログインする

ユーザーがログインボタンをクリックして、リクエストした権限へのアクセスをアプリに許可します。次に、grantOfflineAccess().then() メソッドで指定したコールバック関数に、認証コードを含む JSON オブジェクトが渡されます。次に例を示します。

{"code":"4/yU4cQZTMnnMtetyFcIWNItG32eKxxxgXXX-Z4yyJJJo.4qHskT-UtugceFc0ZRONyF4z7U4UmAI"}

ステップ 6: サーバーに認証コードを送信する

code は、サーバーが独自のアクセストークンと更新トークンと交換できるワンタイムコードです。更新トークンは、オフラインアクセスをリクエストする承認ダイアログがユーザーに表示された後にのみ取得できます。ステップ 4 の OfflineAccessOptions で select-account prompt を指定した場合、後続の交換は更新トークンに対して null を返すため、取得した更新トークンを後で使用するために保存する必要があります。このフローでは、標準の OAuth 2.0 フローよりもセキュリティが強化されています。

アクセストークンは、有効な認証コードと交換して常に返されます。

次のスクリプトでは、ログインボタンのコールバック関数を定義しています。ログインに成功すると、クライアントサイドで使用するアクセストークンが保存され、同じドメインのサーバーにワンタイムコードが送信されます。

<!-- Last part of BODY element in file index.html -->
<script>
function signInCallback(authResult) {
  if (authResult['code']) {

    // Hide the sign-in button now that the user is authorized, for example:
    $('#signinButton').attr('style', 'display: none');

    // Send the code to the server
    $.ajax({
      type: 'POST',
      url: 'http://example.com/storeauthcode',
      // Always include an `X-Requested-With` header in every AJAX request,
      // to protect against CSRF attacks.
      headers: {
        'X-Requested-With': 'XMLHttpRequest'
      },
      contentType: 'application/octet-stream; charset=utf-8',
      success: function(result) {
        // Handle or verify the server response.
      },
      processData: false,
      data: authResult['code']
    });
  } else {
    // There was an error.
  }
}
</script>

ステップ 7: 認証コードをアクセストークンと交換する

サーバーで、認証コードをアクセストークンおよび更新トークンと交換します。アクセストークンを使用して、ユーザーの代わりに Google API を呼び出します。必要に応じて、更新トークンを保存し、アクセストークンの有効期限が切れたときに新しいアクセストークンを取得します。

プロフィールへのアクセスをリクエストした場合は、ユーザーの基本的なプロフィール情報を含む ID トークンも取得します。

次に例を示します。

Java

// (Receive authCode via HTTPS POST)


if (request.getHeader("X-Requested-With") == null) {
  // Without the `X-Requested-With` header, this request could be forged. Aborts.
}

// Set path to the Web application client_secret_*.json file you downloaded from the
// Google API Console: https://console.cloud.google.com/apis/credentials
// You can also find your Web application client ID and client secret from the
// console and specify them directly when you create the GoogleAuthorizationCodeTokenRequest
// object.
String CLIENT_SECRET_FILE = "/path/to/client_secret.json";

// Exchange auth code for access token
GoogleClientSecrets clientSecrets =
    GoogleClientSecrets.load(
        JacksonFactory.getDefaultInstance(), new FileReader(CLIENT_SECRET_FILE));
GoogleTokenResponse tokenResponse =
          new GoogleAuthorizationCodeTokenRequest(
              new NetHttpTransport(),
              JacksonFactory.getDefaultInstance(),
              "https://oauth2.googleapis.com/token",
              clientSecrets.getDetails().getClientId(),
              clientSecrets.getDetails().getClientSecret(),
              authCode,
              REDIRECT_URI)  // Specify the same redirect URI that you use with your web
                             // app. If you don't have a web version of your app, you can
                             // specify an empty string.
              .execute();

String accessToken = tokenResponse.getAccessToken();

// Use access token to call API
GoogleCredential credential = new GoogleCredential().setAccessToken(accessToken);
Drive drive =
    new Drive.Builder(new NetHttpTransport(), JacksonFactory.getDefaultInstance(), credential)
        .setApplicationName("Auth Code Exchange Demo")
        .build();
File file = drive.files().get("appfolder").execute();

// Get profile info from ID token
GoogleIdToken idToken = tokenResponse.parseIdToken();
GoogleIdToken.Payload payload = idToken.getPayload();
String userId = payload.getSubject();  // Use this value as a key to identify a user.
String email = payload.getEmail();
boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
String name = (String) payload.get("name");
String pictureUrl = (String) payload.get("picture");
String locale = (String) payload.get("locale");
String familyName = (String) payload.get("family_name");
String givenName = (String) payload.get("given_name");

Python

from apiclient import discovery
import httplib2
from oauth2client import client

# (Receive auth_code by HTTPS POST)


# If this request does not have `X-Requested-With` header, this could be a CSRF
if not request.headers.get('X-Requested-With'):
    abort(403)

# Set path to the Web application client_secret_*.json file you downloaded from the
# Google API Console: https://console.cloud.google.com/apis/credentials
CLIENT_SECRET_FILE = '/path/to/client_secret.json'

# Exchange auth code for access token, refresh token, and ID token
credentials = client.credentials_from_clientsecrets_and_code(
    CLIENT_SECRET_FILE,
    ['https://www.googleapis.com/auth/drive.appdata', 'profile', 'email'],
    auth_code)

# Call Google API
http_auth = credentials.authorize(httplib2.Http())
drive_service = discovery.build('drive', 'v3', http=http_auth)
appfolder = drive_service.files().get(fileId='appfolder').execute()

# Get profile info from ID token
userid = credentials.id_token['sub']
email = credentials.id_token['email']