Τι είναι το OAuth; Το «Σύνδεση με Google» και η εξουσιοδοτημένη πρόσβαση εξηγημένα

Το OAuth είναι ανοιχτό πρότυπο που επιτρέπει σε έναν χρήστη να δώσει σε μια εφαρμογή περιορισμένη πρόσβαση στον λογαριασμό του σε μια άλλη υπηρεσία, χωρίς να μοιραστεί τον κωδικό του. Όταν πατάς «Σύνδεση Google Calendar» και βλέπεις οθόνη που ρωτά «Να επιτρέπεται στην εφαρμογή να βλέπει τα γεγονότα σου;», αυτό είναι OAuth. Η εφαρμογή παίρνει token μόνο για όσα ενέκρινες, και μπορείς να το ανακαλέσεις οποτεδήποτε. Ο ίδιος μηχανισμός, με ένα επιπλέον επίπεδο που λέγεται OpenID Connect, τροφοδοτεί το «Σύνδεση με Google» και παρόμοια κουμπιά.

Γιατί έχει σημασία το OAuth όταν χτίζεις με AI

Το OAuth εμφανίζεται σε δύο συνηθισμένες περιπτώσεις όταν χτίζεις εφαρμογή:

1. Σύνδεση μέσω κοινωνικού λογαριασμού. Θέλεις οι χρήστες σου να κάνουν «Σύνδεση με Google» (ή Apple, Microsoft, GitHub) αντί να δημιουργούν έναν ακόμα κωδικό. Δες πώς να προσθέσεις σύνδεση στην εφαρμογή σου.
2. Σύνδεση με λογαριασμούς χρηστών σε άλλες υπηρεσίες. Η εφαρμογή σου χρειάζεται να διαβάζει το ημερολόγιο ενός χρήστη, να δημοσιεύει στον κοινωνικό του λογαριασμό, να φέρνει αρχεία από τον cloud αποθηκευτικό του χώρο ή να συγχρονίζει τα λογιστικά του δεδομένα.

Σε αμφότερες τις περιπτώσεις το εργαλείο AI μπορεί να γράψει τον κώδικα, αλλά ορισμένα βήματα μπορείς να κάνεις μόνο εσύ: να δημιουργήσεις εφαρμογή προγραμματιστή στον πάροχο, να πάρεις ένα client ID και ένα client secret, να καταχωρίσεις URLs επιστροφής και, για ορισμένα δικαιώματα, να περάσεις τον έλεγχο του παρόχου. Το να ξέρεις πώς λειτουργεί το OAuth κάνει αυτά τα βήματα — και τα σφάλματα που παράγουν — πολύ λιγότερο μυστηριώδη. Για τη μεγαλύτερη εικόνα της σύνδεσης, δες τι είναι η αυθεντικοποίηση.

Μια καθημερινή αναλογία

Σκέψου την κάρτα-κλειδί ενός ξενοδοχείου. Κατά το check-in, η ρεσεψιόν επιβεβαιώνει ποιος είσαι και σου δίνει μια κάρτα που ανοίγει το δωμάτιό σου και το γυμναστήριο — όχι τα άλλα δωμάτια, όχι τους χώρους του προσωπικού — και σταματά να λειτουργεί στο check-out. Η κάρτα δεν περιέχει το διαβατήριό σου. Αν τη χάσεις, η ρεσεψιόν την ακυρώνει και εκδίδει νέα.

• Η ρεσεψιόν είναι ο διακομιστής εξουσιοδότησης (η σελίδα σύνδεσης της Google).
• Ο έλεγχος ταυτότητάς σου είναι η σύνδεσή σου στην Google.
• Η κάρτα-κλειδί είναι το access token.
• «Μόνο δωμάτιο και γυμναστήριο» είναι τα scopes που ενέκρινες.
• Το check-out είναι η λήξη του token ή η ανάκλησή του από εσένα.

Η εφαρμογή που χρησιμοποιείς ποτέ δεν βλέπει τον κωδικό σου στην Google, μόνο την κάρτα-κλειδί.

Πώς λειτουργεί το OAuth, βήμα προς βήμα

Η πιο συνηθισμένη ροή για web εφαρμογές είναι η ροή authorization code. Εδώ συμβαίνει τι όταν ένας χρήστης συνδέει το Google Calendar του με μια εφαρμογή προγραμματισμού:

1. Κλικ. Ο χρήστης πατά «Σύνδεση Google Calendar».
2. Ανακατεύθυνση στον πάροχο. Η εφαρμογή στέλνει τον browser στην Google με το client ID της, τα scopes που ζητά (ανάγνωση γεγονότων ημερολογίου) και το redirect URI όπου η Google πρέπει να στείλει τον χρήστη πίσω.
3. Σύνδεση και συναίνεση. Ο χρήστης συνδέεται στην Google (αν δεν είναι ήδη συνδεδεμένος) και βλέπει οθόνη συναίνεσης με όσα ζητά η εφαρμογή. Πατά Allow.
4. Επιστροφή με κωδικό. Η Google ανακατευθύνει τον browser στο redirect URI της εφαρμογής με έναν σύντομης διάρκειας, μίας χρήσης authorization code.
5. Ανταλλαγή στον server. Ο server της εφαρμογής στέλνει αυτόν τον κωδικό, μαζί με το client secret, απευθείας στην Google και λαμβάνει ένα access token (και συχνά ένα refresh token).
6. Χρήση του API. Ο server καλεί το API του Google Calendar με το access token και παίρνει τα γεγονότα του χρήστη.

Η επιστροφή στο βήμα 4 μοιάζει με κάτι τέτοιο:

https://yourapp.com/auth/google/callback?code=4/0Adeu5B...&state=x7Kq9

Και η απάντηση με τα tokens στο βήμα 5 είναι JSON, όπως:

{
  "access_token": "ya29.a0Af...",
  "expires_in": 3599,
  "refresh_token": "1//0gL...",
  "scope": "https://www.googleapis.com/auth/calendar.readonly",
  "token_type": "Bearer"
}

Το σημαντικό σημείο σχεδιασμού: η ανταλλαγή tokens γίνεται από server σε server, οπότε το client secret και τα tokens δεν χρειάζεται ποτέ να περάσουν από τον browser.

OAuth vs OpenID Connect vs δική σου σύνδεση

Πολλές εφαρμογές τα συνδυάζουν: σύνδεση με email και κωδικό, συν «Σύνδεση με Google» μέσω OIDC, συν ξεχωριστές συνδέσεις OAuth με άλλες υπηρεσίες.

Βασικοί όροι

Συνηθισμένες παρανοήσεις

• «Το OAuth είναι σύστημα σύνδεσης». Το απλό OAuth χορηγεί πρόσβαση· το OpenID Connect αναλαμβάνει την ταυτότητα. Η χρήση ενός γυμνού access token ως απόδειξης του ποιος είναι κάποιος έχει προκαλέσει πραγματικά σφάλματα ασφαλείας.
• «Η εφαρμογή παίρνει τον κωδικό μου». Ποτέ δεν τον παίρνει. Αυτό ακριβώς είναι το νόημα.
• «Το να ζητάς περισσότερα scopes είναι αβλαβές». Οι χρήστες είναι πιο επιφυλακτικοί με ευρείες αιτήσεις, και πάροχοι όπως η Google μπορεί να απαιτούν έλεγχο της εφαρμογής για ευαίσθητα ή περιορισμένα scopes. Ζήτα μόνο ό,τι χρειάζεσαι.
• «Το client secret μπορεί να μπει στο frontend». Ό,τι βρίσκεται στον κώδικα του browser είναι δημόσιο. Κράτα το στα μυστικά του server.
• «Λειτουργεί στις δοκιμές, άρα θα λειτουργεί και στην παραγωγή». Οι πάροχοι συχνά περιορίζουν τις μη επαληθευμένες εφαρμογές — για παράδειγμα, σε καταχωρισμένους δοκιμαστικούς χρήστες — και το redirect URI του ζωντανού domain σου πρέπει να καταχωριστεί χωριστά.
• «Τα tokens ισχύουν για πάντα». Τα access tokens λήγουν γρήγορα, και οι χρήστες μπορούν να ανακαλέσουν την πρόσβαση. Η εφαρμογή σου πρέπει να τα χειρίζεται και τα δύο με ομαλότητα.

Τι να ζητήσεις από το εργαλείο δημιουργίας με AI

• «Πρόσθεσε «Σύνδεση με Google» με OpenID Connect χρησιμοποιώντας μια καλά συντηρούμενη βιβλιοθήκη αυθεντικοποίησης — μην γράφεις το OAuth από το μηδέν.»
• «Χρησιμοποίησε τη ροή authorization code με PKCE και έλεγξε την παράμετρο state.»
• «Διάβαζε το client ID και το client secret από μεταβλητές περιβάλλοντος στον server.»
• «Ζήτα μόνο τα scopes που χρειαζόμαστε: πρόσβαση ανάγνωσης στο ημερολόγιο.»
• «Πες μου κάθε URL ανακατεύθυνσης που πρέπει να καταχωρίσω στην κονσόλα του παρόχου, για την προεπισκόπηση, το δημοσιευμένο URL και το προσαρμοσμένο domain μου.»
• «Αποθήκευσε τα refresh tokens κρυπτογραφημένα στη βάση δεδομένων και χειρίσου τα ληγμένα ή ανακληθέντα tokens ζητώντας από τον χρήστη να συνδεθεί ξανά.»
• «Άφησε τους χρήστες να αποσυνδέουν την ενσωμάτωση από τη σελίδα ρυθμίσεων τους.»

Το OAuth και το Mythex

Το Mythex δεν έχει ενσωματωμένη σύνδεση τελικών χρηστών για τις εφαρμογές που φτιάχνεις· η τεκμηρίωσή του περιγράφει προσέγγιση «φέρε τα δικά σου»: επιλέγεις βιβλιοθήκη αυθεντικοποίησης ή φιλοξενούμενο πάροχο, αποθηκεύεις τα κλειδιά του ως μυστικά έργου, και ο agent γράφει τον κώδικα. Η συνταγή προσθήκης αυθεντικοποίησης έχει ένα αρχικό prompt γι' αυτό. Θα συναντήσεις επίσης το OAuth μέσα στο ίδιο το Mythex: μπορείς να κάνεις εγγραφή με Google, η σύνδεση με το GitHub για συγχρονισμό αποθετηρίων χρησιμοποιεί OAuth του GitHub, και οι βοηθοί AI που συνδέονται με το Mythex μέσω MCP περνούν από σελίδα συναίνεσης OAuth. Για περισσότερα, δες τι είναι η αυθεντικοποίηση και τι είναι η αυθεντικοποίηση δύο παραγόντων.

Ερωτήσεις