Što je OAuth? „Prijava putem Googlea” i delegirani pristup objašnjeno

OAuth je otvoreni standard koji korisniku omogućuje da jednoj aplikaciji dade ograničen pristup svom računu na drugom servisu, bez predaje lozinke. Kad kliknete „Poveži Google kalendar” i vidite ekran s pitanjem „Dopustiti ovoj aplikaciji da vidi vaše događaje?”, to je OAuth. Aplikacija dobiva token samo za ono što ste odobrili, a taj pristup možete u bilo kojem trenutku opozvati. Isti mehanizam, uz dodatni sloj zvan OpenID Connect, pokreće „Prijavi se putem Googlea” i slične gumbe.

Zašto je OAuth važan kad gradite s AI-jem

OAuth se pojavljuje u dvije uobičajene situacije pri izradi aplikacije:

1. Društvena prijava. Želite da se korisnici prijavljuju „putem Googlea” (ili Applea, Microsofta, GitHuba) umjesto da stvaraju još jednu lozinku. Pogledajte kako dodati prijavu u aplikaciju.
2. Povezivanje s računima korisnika na drugim servisima. Vaša aplikacija treba čitati korisnikov kalendar, objavljivati na njegov društveni račun, dohvaćati datoteke iz njegova oblaka ili sinkronizirati računovodstvene podatke.

U oba slučaja AI alat može napisati kod, ali neke korake možete odraditi samo vi: izraditi razvojnu aplikaciju kod davatelja, dobiti client ID i client secret, registrirati povratne URL-ove i, za neka dopuštenja, proći davateljev pregled. Razumijevanje OAuth-a čini te korake i pogreške koje proizvode manje tajanstvenima. Za širu sliku prijave pogledajte što je autentifikacija.

Svakodnevna analogija

Razmislite o kartici za hotelsku sobu. Pri prijavi recepcija potvrdi tko ste, zatim vam da karticu koja otvara vašu sobu i teretanu, ali ne i druge sobe ni prostore za osoblje, i prestaje raditi pri odjavi. Kartica ne sadrži vašu putovnicu. Ako je izgubite, recepcija je poništi i izda novu.

• Recepcija je server za autorizaciju (stranica za prijavu Googlea).
• Provjera vašeg identiteta je vaša prijava na Googleu.
• Kartica je access token.
• „Samo soba i teretana” su opsezi (scopes) koje ste odobrili.
• Odjava je istek tokena ili vaše opozivanje pristupa.

Aplikacija koju koristite nikad ne vidi vašu lozinku za Google, samo karticu.

Kako OAuth radi, korak po korak

Najčešći tok za web aplikacije je tok s autorizacijskim kodom. Evo što se događa kad korisnik poveže svoj Google kalendar s aplikacijom za zakazivanje:

1. Klik. Korisnik klikne „Poveži Google kalendar”.
2. Preusmjeravanje na davatelja. Aplikacija šalje preglednik na Google s client ID-jem, opsezima koje želi (čitanje događaja u kalendaru) i redirect URI-jem na koji Google treba vratiti korisnika.
3. Prijava i pristanak. Korisnik se prijavljuje na Google (ako već nije) i vidi ekran pristanka s popisom traženih opsega. Klikne Allow.
4. Povratak s kodom. Google preusmjerava preglednik na redirect URI aplikacije s kratkotrajnim, jednokratnim autorizacijskim kodom.
5. Razmjena na serveru. Serverska strana aplikacije šalje taj kod, zajedno s klijentskom tajnom, izravno Googleu i prima access token (i često refresh token).
6. Korištenje API-ja. Server poziva API Google kalendara s access tokenom i dohvaća događaje korisnika.

Povratni poziv u koraku 4 izgleda otprilike ovako:

https://yourapp.com/auth/google/callback?code=4/0Adeu5B...&state=x7Kq9

A odgovor s tokenom u koraku 5 je JSON poput ovoga:

{
  "access_token": "ya29.a0Af...",
  "expires_in": 3599,
  "refresh_token": "1//0gL...",
  "scope": "https://www.googleapis.com/auth/calendar.readonly",
  "token_type": "Bearer"
}

Važna točka dizajna: razmjena tokena odvija se između servera, pa klijentska tajna i tokeni nikad ne moraju proći kroz preglednik.

OAuth vs OpenID Connect vs vlastita prijava

Mnoge aplikacije kombiniraju ih: prijava e-adresom i lozinkom, plus „Prijava putem Googlea” preko OIDC-a, plus zasebne OAuth veze s drugim servisima.

Ključni pojmovi

Česte zablude

• „OAuth je sustav prijave.” Sam OAuth dodjeljuje pristup; OpenID Connect rješava identitet. Korištenje golog access tokena kao dokaza tko je netko uzrokovalo je stvarne sigurnosne probleme.
• „Aplikacija dobiva moju lozinku.” Nikad. U tome je cijela poanta.
• „Traženje više opsega je bezopasno.” Korisnici su oprezniji pred širokim zahtjevima, a davatelji poput Googlea mogu zahtijevati pregled aplikacije za osjetljive ili ograničene opsege. Tražite samo ono što vam treba.
• „Klijentska tajna može ići u frontend.” Sve što je u kodu preglednika je javno. Držite je u tajnama na serveru.
• „Radi u testiranju, radit će i u produkciji.” Davatelji često ograničavaju neprovjerene aplikacije, na primjer na popis testnih korisnika, a povratni URL za vašu stvarnu domenu mora se registrirati zasebno.
• „Tokeni traju zauvijek.” Access tokeni brzo isteknu, a korisnici mogu opozvati pristup. Vaša aplikacija mora to podnijeti.

Što tražiti od AI alata za izradu

• „Dodaj ‘Prijava putem Googlea’ koristeći OpenID Connect s dobro održavanom bibliotekom za autentifikaciju, nemoj sam pisati OAuth tok.”
• „Koristi tok s autorizacijskim kodom s PKCE-om i provjeri parametar state.”
• „Čitaj client ID i client secret iz varijabli okruženja na serveru.”
• „Traži samo opsege koji su nam potrebni: samo čitanje kalendara.”
• „Reci mi svaki povratni URL koji moram registrirati u konzoli davatelja, za pregled, objavljeni URL i moju prilagođenu domenu.”
• „Pohranjuj refresh tokene šifrirano u bazi i kad je token istekao ili opozvan, traži od korisnika da se ponovno poveže.”
• „Neka korisnici mogu prekinuti integraciju na stranici svojih postavki.”

OAuth i Mythex

Mythex nema ugrađenu prijavu krajnjih korisnika za aplikacije koje gradite; dokumentacija opisuje pristup „donesi svoj”: odabirete biblioteku za autentifikaciju ili hostirani servis, spremate njegove ključeve kao tajne projekta, a agent piše kod. Recept dodavanje autentifikacije ima početni upit za to. S OAuth-om ćete se susresti i u samom Mythexu: možete se prijaviti s Googleom, povezivanje GitHuba za sinkronizaciju repozitorija koristi GitHub OAuth, a AI klijenti koji se spajaju na Mythex preko MCP-a prolaze kroz stranicu za pristanak OAuth-a. Za više pogledajte što je autentifikacija i što je dvofaktorska autentifikacija.

Pitanja