Šta je OAuth? „Prijava preko Googlea” i delegirani pristup objašnjeni

OAuth je otvoreni standard koji korisniku omogućava da jednoj aplikaciji da ograničen pristup svom nalogu na drugom servisu, bez predaje lozinke. Kada kliknete „Poveži Google kalendar” i vidite ekran koji pita „Dozvoliti ovoj aplikaciji da vidi vaše događaje?”, to je OAuth. Aplikacija dobija token za tačno ono što ste odobrili, a to možete opozvati u bilo kom trenutku. Ista mehanika, uz dodatni sloj zvan OpenID Connect, pokreće „Prijavu preko Googlea” i slična dugmad.

Zašto je OAuth važan kada gradite uz AI

OAuth se pojavljuje u dvije uobičajene situacije kada pravite aplikaciju:

1. Društvena prijava. Želite da se vaši korisnici „Prijave preko Googlea” (ili Applea, Microsofta, GitHuba) umjesto da prave novu lozinku. Pogledajte kako dodati prijavu u aplikaciju.
2. Povezivanje s nalozima korisnika na drugim servisima. Vaša aplikacija treba čitati kalendar korisnika, objavljivati na njegov društveni nalog, preuzimati fajlove s njegovog cloud diska ili sinhronizovati podatke iz računovodstva.

U oba slučaja AI graditelj može napisati kod, ali neke korake može uraditi samo vi: napraviti razvojnu aplikaciju kod provajdera, dobiti client ID i client secret, registrovati callback URL-ove i, za neke dozvole, proći provajderov pregled. Kada znate kako OAuth radi, ti koraci — i greške koje proizvode — postaju mnogo manje tajanstveni. Za širu sliku prijave pogledajte šta je autentifikacija.

Svakodnevna analogija

Razmislite o kartici za sobu u hotelu. Na prijavi recepcija potvrdi ko ste, zatim vam da karticu koja otvara vašu sobu i teretanu — ne druge sobe, ne prostorije za osoblje — i prestaje da radi na odjavi. Kartica ne sadrži vaš pasoš. Ako je izgubite, recepcija je poništi i izda novu.

• Recepcija je autorizacioni server (Googleova stranica za prijavu).
• Provjera vašeg identiteta je vaša prijava na Google.
• Kartica je access token.
• „Samo soba i teretana” su opsezi koje ste odobrili.
• Odjava je istek tokena ili vaše opozivanje pristupa.

Aplikacija koju koristite nikada ne vidi vašu Google lozinku, samo karticu.

Kako OAuth radi, korak po korak

Najčešći tok za web aplikacije je authorization code tok. Evo šta se dešava kada korisnik poveže svoj Google kalendar s aplikacijom za zakazivanje:

1. Klik. Korisnik klikne „Poveži Google kalendar.”
2. Preusmjeravanje provajderu. Aplikacija šalje pretraživač na Google s njenim client ID-jem, opsezima koje traži (čitanje događaja iz kalendara) i redirect URI-jem na koji Google treba da vrati korisnika.
3. Prijava i saglasnost. Korisnik se prijavljuje na Google (ako već nije) i vidi ekran saglasnosti s popisom onoga što aplikacija traži. Klikne Allow.
4. Nazad s kodom. Google preusmjerava pretraživač na redirect URI aplikacije s kratkim, jednokratnim authorization code.
5. Razmjena na serveru. Serverska aplikacija šalje taj kod, zajedno s client secretom, direktno Googleu i dobija access token (i često refresh token).
6. Korištenje API-ja. Server zove Google Calendar API s access tokenom i dobija događaje korisnika.

Callback u koraku 4 izgleda otprilike ovako:

https://yourapp.com/auth/google/callback?code=4/0Adeu5B...&state=x7Kq9

A odgovor s tokenom u koraku 5 je JSON poput ovoga:

{
  "access_token": "ya29.a0Af...",
  "expires_in": 3599,
  "refresh_token": "1//0gL...",
  "scope": "https://www.googleapis.com/auth/calendar.readonly",
  "token_type": "Bearer"
}

Važna tačka dizajna: razmjena tokena se odvija između servera, pa client secret i tokeni nikada ne moraju prolaziti kroz pretraživač.

OAuth naspram OpenID Connecta naspram vaše prijave

Mnoge aplikacije kombinuju ove načine: prijava e-poštom i lozinkom, plus „Prijava preko Googlea” putem OIDC-a, plus zasebne OAuth veze s drugim servisima.

Ključni pojmovi

Česte zablude

• „OAuth je sistem za prijavu.” Običan OAuth dodjeljuje pristup; OpenID Connect se bavi identitetom. Korištenje golog access tokena kao dokaza ko je neko dovelo je do stvarnih sigurnosnih grešaka.
• „Aplikacija dobija moju lozinku.” Nikada. U tome je poenta.
• „Traženje više opsega je bezopasno.” Korisnici su oprezniji prema širokim zahtjevima, a provajderi poput Googlea mogu zahtijevati pregled aplikacije za osjetljive ili ograničene opsege. Tražite samo ono što vam treba.
• „Client secret može ići u frontend.” Sve u kodu pretraživača je javno. Čuvajte ga u tajnama na serveru.
• „Radi u testiranju, pa će raditi i u produkciji.” Provajderi često ograničavaju neverifikovane aplikacije — na primjer, na navedene test korisnike — a redirect URI za vašu live domenu mora se registrovati zasebno.
• „Tokeni traju zauvijek.” Access tokeni brzo isteknu, a korisnici mogu opozvati pristup. Vaša aplikacija mora dobro obraditi oboje.

Šta pitati AI graditelja

• „Dodaj ‘Prijava preko Googlea’ koristeći OpenID Connect s dobro održavanom bibliotekom za autentifikaciju — nemoj ručno pisati OAuth tok.”
• „Koristi authorization code tok s PKCE-om i provjeri state parametar.”
• „Čitaj client ID i client secret iz varijabli okruženja na serveru.”
• „Traži samo opsege koji su nam potrebni: pristup kalendaru samo za čitanje.”
• „Reci mi svaku redirect URL adresu koju treba registrovati u konzoli provajdera: za pregled, objavljenu adresu i moju prilagođenu domenu.”
• „Čuvaj refresh tokene šifrovane u bazi i obradi istekle ili opozvane tokene tako da korisnik ponovo poveže nalog.”
• „Neka korisnici mogu prekinuti integraciju na stranici svojih postavki.”

OAuth i Mythex

Mythex nema ugrađenu prijavu za krajnje korisnike aplikacija koje pravite; njegova dokumentacija opisuje pristup „donesite svoje” — birate biblioteku za autentifikaciju ili hostovanog provajdera, čuvate njene ključeve kao tajne projekta, a agent piše kod. Recept za dodavanje autentifikacije ima početni upit za to. OAuth ćete sresti i u samom Mythexu: možete se prijaviti s Google nalogom, povezivanje GitHuba za sinhronizaciju repozitorija koristi GitHub OAuth, a AI klijenti koji se povezuju na Mythex preko MCP-a prolaze kroz stranicu za saglasnost OAuth-a. Za više pogledajte šta je autentifikacija i šta je dvofaktorska autentifikacija.

Pitanja