Mitä on OAuth? "Kirjaudu Google-tilillä" ja valtuutettu käyttö selitettynä

OAuth on avoin standardi, jonka avulla käyttäjä antaa yhdelle sovellukselle rajoitetun pääsyn tiliinsä toisessa palvelussa antamatta salasanaansa. Kun napsautat "Yhdistä Google-kalenteri" ja näet ruudun, jossa kysytään "Saako tämä sovellus nähdä tapahtumasi?", kyseessä on OAuth. Sovellus saa tunnuksen juuri siihen, mitä hyväksyit, ja voit peruuttaa sen milloin tahansa. Sama tekniikka, johon on lisätty OpenID Connect -kerros, toimii "Kirjaudu Google-tilillä" -painikkeen ja vastaavien takana.

Miksi OAuth on tärkeää tekoälyllä rakennettaessa

OAuth tulee esiin kahdessa yleisessä tilanteessa, kun rakennat sovellusta:

1. Sosiaalinen kirjautuminen. Haluat käyttäjien kirjautuvan "Kirjaudu Google-tilillä" (tai Applella, Microsoftilla, GitHubilla) sen sijaan, että luovat yhden salasanan lisää. Katso miten kirjautuminen lisätään sovellukseen.
2. Yhdistäminen käyttäjien tileihin muissa palveluissa. Sovelluksesi tarvitsee lukea käyttäjän kalenteria, julkaista hänen sosiaalisen median tilille, hakea tiedostoja pilvitallennuksesta tai synkronoida kirjanpitotietoja.

Molemmissa tapauksissa tekoälyrakentaja voi kirjoittaa koodin, mutta jotkin vaiheet vaativat sinua: kehittäjäsovelluksen luominen palveluntarjoajalle, client ID:n ja client secret:in hankkiminen, takaisinkutsu-URL-osoitteiden rekisteröinti ja joidenkin oikeuksien hyväksyttäminen palveluntarjoajan tarkastuksessa. OAuthin toiminnan ymmärtäminen tekee näistä vaiheista ja niiden virheistä paljon vähemmän mystisiä. Kirjautumisen kokonaiskuvaa varten katso mitä todennus on.

Arkinen vertaus

Ajattele hotellin avainkorttia. Sisäänkirjautuessa vastaanotto varmistaa, kuka olet, ja antaa sinulle kortin, joka avaa huoneesi ja kuntosalin, mutta ei muita huoneita tai henkilökunnan tiloja. Kortti ei sisällä passiasi. Jos kortti katoaa, vastaanotto mitätöi sen ja antaa uuden.

• Vastaanotto on valtuutuspalvelin (Googlen kirjautumissivu).
• Henkilöllisyystarkistus on sinun kirjautumisesi Googleen.
• Avainkortti on käyttötunnus.
• "Huone ja kuntosali vain" ovat hyväksymäsi oikeudet (scopes).
• Uloskirjautuminen on tunnuksen vanheneminen tai pääsyn peruuttaminen.

Sovellus, jota käytät, ei koskaan näe Google-salasanaasi, vain avainkortin.

Miten OAuth toimii vaihe vaiheelta

Yleisin virta verkkosovelluksissa on valtuutuskoodivirta (authorization code flow). Tässä tapahtuu, kun käyttäjä yhdistää Google-kalenterinsa aikataulutussovellukseen:

1. Napsautus. Käyttäjä klikkaa "Yhdistä Google-kalenteri".
2. Uudelleenohjaus palveluntarjoajalle. Sovellus lähettää selaimen Googleen sen client ID:n, pyytämiensä oikeuksien (lue kalenteritapahtumat) ja uudelleenohjaus-URI:n, johon Google palauttaa käyttäjän.
3. Kirjautuminen ja suostumus. Käyttäjä kirjautuu Googleen (jos ei jo ole) ja näkee suostumusnäytön, jolla luetellaan, mitä sovellus pyytää. Hän klikkaa Salli.
4. Takaisin koodin kanssa. Google ohjaa selaimen takaisin sovelluksen uudelleenohjaus-URI:in lyhytaikaisella, kertakäyttöisellä valtuutuskoodilla.
5. Vaihto palvelimella. Sovelluksen palvelin lähettää koodin ja client secretin suoraan Googleen ja saa käyttötunnuksen (ja usein päivitystunnuksen).
6. API:n käyttö. Palvelin kutsuu Google Calendarin rajapintaa käyttötunnuksella ja hakee käyttäjän tapahtumat.

Vaiheen 4 takaisinkutsu näyttää suunnilleen tältä:

https://yourapp.com/auth/google/callback?code=4/0Adeu5B...&state=x7Kq9

Ja vaiheen 5 tunnusvastaus on JSONia tämän kaltainen:

{
  "access_token": "ya29.a0Af...",
  "expires_in": 3599,
  "refresh_token": "1//0gL...",
  "scope": "https://www.googleapis.com/auth/calendar.readonly",
  "token_type": "Bearer"
}

Tärkeä suunnitteluperiaate: tunnuksen vaihto tapahtuu palvelimelta palvelimelle, joten client secret ja tunnukset eivät koskaan kulje selaimen kautta.

OAuth vs OpenID Connect vs oma kirjautuminen

Monet sovellukset yhdistävät nämä: sähköposti-salasana-kirjautumisen, "Kirjaudu Google-tilillä" -kirjautumisen OIDC:n kautta ja erilliset OAuth-yhteydet muihin palveluihin.

Keskeiset termit

Yleisiä väärinkäsityksiä

• "OAuth on kirjautumisjärjestelmä." Pelkkä OAuth myöntää pääsyn; OpenID Connect hoitaa henkilöllisyyden. Pelkän käyttötunnuksen käyttäminen todisteena siitä, kuka joku on, on aiheuttanut oikeita tietoturvavirheitä.
• "Sovellus saa salasanani." Ei saa. Juuri se on tarkoitus.
• "Lisäoikeuksien pyytäminen on vaaratonta." Käyttäjät epäilevät laajoja pyyntöjä, ja palveluntarjoajat kuten Google voivat vaatia sovelluksen tarkastuksen arkaluonteisille tai rajoitetuille oikeuksille. Pyydä vain tarvitsemasi.
• "Client secret voi olla frontendissä." Kaikki selainkoodissa on julkista. Pidä se palvelinpuolen salaisuuksina.
• "Se toimii testauksessa, joten toimii tuotannossa." Palveluntarjoajat rajoittavat usein vahvistamattomia sovelluksia, esimerkiksi listattuihin testikäyttäjiin, ja live-verkkotunnuksesi uudelleenohjausosoite on rekisteröitävä erikseen.
• "Tunnukset ovat voimassa ikuisesti." Käyttötunnukset vanhenevat nopeasti, ja käyttäjät voivat peruuttaa pääsyn. Sovelluksesi täytyy käsitellä molemmat sulavasti.

Mitä pyytää tekoälysovellusrakentajalta

• "Lisää 'Kirjaudu Google-tilillä' OpenID Connectilla hyvin ylläpidetyllä todennuskirjastolla. Älä kirjoita OAuth-virtaa käsin."
• "Käytä valtuutuskoodivirtaa PKCE:n kanssa ja tarkista state-parametri."
• "Lue client ID ja client secret palvelimen ympäristömuuttujista."
• "Pyydä vain tarvitsemamme oikeudet: vain luku -pääsy kalenteriin."
• "Kerro, mitkä kaikki uudelleenohjaus-URL:t minun pitää rekisteröidä palveluntarjoajan konsoliin: esikatselulle, julkaistulle URL-osoitteelle ja omalle verkkotunnukselleni."
• "Tallenna päivitystunnukset salattuina tietokantaan, ja kun tunnus on vanhentunut tai peruutettu, pyydä käyttäjää yhdistämään uudelleen."
• "Anna käyttäjien katkaista integraatio asetussivultaan."

OAuth ja Mythex

Mythexissa ei ole sisäänrakennettua loppukäyttäjän kirjautumista rakentamillesi sovelluksille. Dokumentaatiossa kuvataan "tuo oma" -lähestymistapa: valitset todennuskirjaston tai hallitun palveluntarjoajan, tallennat sen avaimet projektin salaisuuksiin, ja agentti kirjoittaa koodin. Lisää todennus -resepti sisältää aloituskehotteen tähän. Törmäät OAuthiin myös Mythexissä itsessään: voit kirjautua Google-tilillä, GitHubin yhdistäminen repositorion synkronointiin käyttää GitHub-OAuthia, ja tekoälyasiakkaat, jotka yhdistyvät Mythexiin MCP:n kautta, kulkevat OAuth-suostumussivun läpi. Lisää aiheesta: mitä todennus on ja mitä kaksivaiheinen todennus on.

Kysymykset