OAuth деген не? «Google арқылы кіру» және делегацияланған қатынау түсіндіріледі

OAuth — пайдаланушыға бір қолданбаға басқа қызметтегі аккаунтына шектеулі қатынау беруге мүмкіндік беретін ашық стандарт, құпиясөзін бермей-ақ. «Google Calendar-ды қосу» түймесін басып, «Бұл қолданбаның оқиғаларыңызды көруіне рұқсат бересіз бе?» деген экранды көрсеңіз, бұл — OAuth. Қолданба тек мақұлдаған нәрсеге арналған токен алады, оны кез келген уақытта қайтарып алуға болады. Осы механизм, қосымша OpenID Connect қабатымен, «Google арқылы кіру» және ұқсас түймелерді қуаттайды.

AI-мен құрастырғанда OAuth неге маңызды

Қолданба құрғанда OAuth екі жағдайда кездеседі:

1. Әлеуметтік кіру. Пайдаланушыларыңыз жаңа құпиясөз жасамай-ақ, «Google арқылы кіру» (немесе Apple, Microsoft, GitHub) деп кіргісі келеді. Қараңыз: қолданбаға кіруді қалай қосу керек.
2. Пайдаланушылардың басқа қызметтердегі аккаунттарына қосылу. Қолданбаңыз пайдаланушының күнтізбесін оқуы, оның әлеуметтік аккаунтына жазуы, бұлттық дискісінен файл алуы немесе бухгалтерлік деректерін синхрондауы керек.

Екі жағдайда да AI құрастырушысы кодты жаза алады, бірақ кейбір қадамдарды тек сіз орындай аласыз: провайдермен әзірлеуші қолданбасын құру, client ID және client secret алу, callback URL-дарды тіркеу және кейбір рұқсаттар үшін провайдердің тексеруінен өту. OAuth-тың қалай жұмыс істейтінін білсеңіз, бұл қадамдар мен олардың тудыратын қателер соншалық түсініксіз болып көрінбейді. Кіру жүйесінің толық көрінісі үшін аутентификация деген не туралы қараңыз.

Күнделікті салыстыру

Қонақүй кілт-картасын елестетіңіз. Тіркелгенде қабылдау бөлімі сіздің кім екеніңізді тексереді, содан кейін сізге тек өз бөлмеңізді және спортзалды ашатын карта береді — басқа бөлмелерді, қызметкерлер аймағын емес — және шығу уақытында жұмыс істеуін тоқтатады. Картада сіздің паспортыңыз жоқ. Жоғалтсаңыз, бюро оны өшіріп, жаңасын береді.

• Қабылдау бөлімі — авторизация серверi (Google-дың кіру беті).
• Сіздің жеке куәлігіңізді тексеру — Google-ға кіруіңіз.
• Кілт-карта — қатынау токені.
• «Бөлме және спортзал ғана» — сіз мақұлдаған scope-тар.
• Шығу — токеннің мерзімі бітуі немесе сіз қатынауды кері қайтаруыңыз.

Қолданба, сіз пайдаланып жатқан, Google құпиясөзіңізді ешқашан көрмейді, тек кілт-картаны көреді.

OAuth қадамдық жұмыс істеуі

Веб-қолданбалар үшін ең жиі кездесетін ағын — authorization code flow. Пайдаланушы кесте қолданбасына Google Calendar-ды қосқанда мыналар болады:

1. Басу. Пайдаланушы «Google Calendar-ды қосу» түймесін басады.
2. Провайдерге бағыттау. Қолданба браузерді Google-ға клиент ID-мен, сұраған scope-тармен (күнтізбе оқиғаларын оқу) және Google пайдаланушыны кері жіберетін redirect URI-мен жібереді.
3. Кіру және келісу. Пайдаланушы Google-ға кіреді (әлі кірмеген болса) және сұралған нәрселерді тізімдейтін келісім экранын көреді. Рұқсат беру түймесін басады.
4. Кодпен қайту. Google браузерді қолданбаның redirect URI-ына қысқа мерзімді, бір реттік authorization code-пен қайтарады.
5. Серверде алмастыру. Қолданбаның сервері осы кодты клиент secret-пен бірге тікелей Google-ға жібереді және access token (әдетте refresh token-пен бірге) алады.
6. API-ды пайдалану. Сервер Google Calendar API-ын қатынау токенімен шақырып, пайдаланушының оқиғаларын алады.

4-қадамдағы callback мынадай болады:

https://yourapp.com/auth/google/callback?code=4/0Adeu5B...&state=x7Kq9

Ал 5-қадамдағы токен жауабы мынадай JSON болады:

{
  "access_token": "ya29.a0Af...",
  "expires_in": 3599,
  "refresh_token": "1//0gL...",
  "scope": "https://www.googleapis.com/auth/calendar.readonly",
  "token_type": "Bearer"
}

Маңызды дизайн нүктесі: токенді алмастыру сервер-сервер арасында жүреді, сондықтан клиент secret пен токендер браузер арқылы өтудің қажеті жоқ.

OAuth, OpenID Connect және өз кіру жүйеңіз

Көп қолданбалар оларды біріктіреді: электрондық пошта мен құпиясөзбен кіру, OIDC арқылы «Google арқылы кіру» және басқа қызметтерге бөлек OAuth қосылымдары.

Негізгі терминдер

Жиі кездесетін түсініспеушіліктер

• «OAuth — кіру жүйесі». Қарапайым OAuth қатынау береді; пайдаланушы кімдігін OpenID Connect өңдейді. Жалаңаш қатынау токенін біреудің кім екенінің дәлелі ретінде пайдалану нақты қауіпсіздік қателеріне әкелді.
• «Қолданба менің құпиясөзімді алады». Ол ешқашан алмайды. Осының бәрі осы үшін.
• «Көбірек scope сұрау зиянсыз». Пайдаланушылар кең сұраныстардан сақтанады, ал Google сияқты провайдерлер сезімтал немесе шектеулі scope-тарға қолданба тексеруін талап етуі мүмкін. Тек қажеттісін ғана сұраңыз.
• «Client secret фронтендте болуы мүмкін». Браузер кодындағының бәрі ашық. Оны сервердегі құпиялар ретінде сақтаңыз.
• «Тестте жұмыс істесе, өндірісте де жұмыс істейді». Провайдерлер тексерілмеген қолданбаларды шектеуі мүмкін, мысалы тізімделген тест пайдаланушыларымен ғана; ал тірі доменіңіздің redirect URI-ы бөлек тіркелуі керек.
• «Токендер мәңгі жұмыс істейді». Қатынау токендерінің мерзімі тез бітеді, ал пайдаланушылар қатынауды кері қайтара алады. Қолданбаңыз екеуін де дұрыс өңдеуі керек.

AI құрастырушысынан не сұрау керек

• «Google арқылы кіруді OpenID Connect және жақсы қолдау көрсетілетін кіру кітапханасымен қосыңыз — OAuth ағынын қолмен жазбаңыз.»
• «Authorization code flow-ды PKCE-мен пайдаланыңыз және state параметрін тексеріңіз.»
• «Клиент ID мен клиент secret-ті серверде айнымалылардан оқыңыз.»
• «Тек қажетті scope-тарды сұраңыз: күнтізбеге тек оқу қатынауы.»
• «Провайдердің консолінде тіркеу керек барлық redirect URL-ды айтыңыз: алдын ала қарау, жарияланған URL және дербес доменім үшін.»
• «Refresh token-дерді дерекқорда шифрлап сақтаңыз, ал мерзімі өткен немесе кері қайтарылған токендерді пайдаланушыдан қайта қосылуын сұрау арқылы өңдеңіз.»
• «Пайдаланушыларға интеграцияны параметрлер бетінен ажыратуға рұқсат етіңіз.»

OAuth және Mythex

Mythex-те жасаған қолданбаларыңыз үшін кірістірілген соңғы пайдаланушы кіру жүйесі жоқ; құжаттамасы «өз кілтіңізді әкеліңіз» тәсілін сипаттайды — аутентификация кітапханасын немесе хостингтік провайдерді таңдайсыз, оның кілттерін жоба құпияларында сақтайсыз, ал агент кодты жазады. Бұл үшін аутентификация қосу рецептінде бастапқы сұраныс бар. OAuth-ты Mythex-тің өзінде де кездестіресіз: Google арқылы тіркеле аласыз, GitHub қосу репозиторий синхрондауы үшін GitHub OAuth пайдаланады, ал MCP арқылы Mythex-ке қосылатын AI клиенттер OAuth келісім бетінен өтеді. Толығырақ: аутентификация деген не және екі факторлы аутентификация деген не.

Сұрақтар