Kas yra OAuth? „Prisijungti su Google“ ir deleguota prieiga paaiškinta

OAuth yra atviras standartas, leidžiantis vartotojui suteikti vienai programėlei ribotą prieigą prie jo paskyros kitoje paslaugoje, neperduodant slaptažodžio. Kai spustelite „Prijungti Google kalendorių“ ir matote ekraną „Leisti šiai programėlei matyti jūsų įvykius?“, tai yra OAuth. Programėlė gauna žetoną tik tam, ką patvirtinote, ir tai bet kada galite atšaukti. Tas pats mechanizmas, papildytas sluoksniu OpenID Connect, veikia ir mygtukuose „Prisijungti su Google“ bei panašiuose.

Kodėl OAuth svarbus kuriant su DI

OAuth kuriant programėlę pasirodo dviem dažniausiais atvejais:

1. Socialinis prisijungimas. Norite, kad vartotojai galėtų „Prisijungti su Google“ (arba Apple, Microsoft, GitHub), o ne kurtų dar vieną slaptažodį. Žr. kaip pridėti prisijungimą prie programėlės.
2. Prisijungimas prie vartotojų paskyrų kitose paslaugose. Programėlei reikia skaityti vartotojo kalendorių, skelbti jo socialinio tinklo paskyroje, gauti failus iš debesies disko arba sinchronizuoti buhalterijos duomenis.

Abiem atvejais DI kūrėjas gali parašyti kodą, bet kai kuriuos žingsnius gali atlikti tik jūs: sukurti kūrėjo programėlę pas teikėją, gauti kliento ID ir kliento slaptažodį (client secret), užregistruoti grįžimo URL ir, kai kuriems leidimams, išlaikyti teikėjo peržiūrą. Žinojimas, kaip veikia OAuth, daro šiuos žingsnius ir jų klaidas daug mažiau paslaptingus. Platesnį prisijungimo vaizdą rasite kas yra autentifikacija.

Kasdienė analogija

Pagalvokite apie viešbučio kortelę. Registruojantis recepcija patikrina, kas esate, ir duoda kortelę, kuri atidaro jūsų kambarį ir sporto salę – ne kitus kambarius, ne personalo zonas – ir nustoja veikti išsiregistravus. Kortelėje nėra jūsų paso. Jei ją pamestumėte, recepcija ją panaikina ir išduoda naują.

• Recepcija – autorizacijos serveris (Google prisijungimo puslapis).
• Jūsų tapatybės patikrinimas – jūs prisijungiate prie Google.
• Kortelė – prieigos žetonas.
• „Tik kambarys ir sporto salė“ – leidimai (scopes), kuriuos patvirtinote.
• Išsiregistravimas – žetono galiojimo pabaiga arba jūsų atšaukta prieiga.

Programėlė, kuria naudojatės, niekada nemato jūsų Google slaptažodžio – tik kortelę.

Kaip veikia OAuth, žingsnis po žingsnio

Dažniausias žiniatinklio programėlių srautas yra autorizacijos kodo srautas. Štai kas nutinka, kai vartotojas prijungia savo Google kalendorių prie planavimo programėlės:

1. Spustelėjimas. Vartotojas spusteli „Prijungti Google kalendorių“.
2. Nukreipimas į teikėją. Programėlė siunčia naršyklę į Google su savo kliento ID, norimais leidimais (skaityti kalendoriaus įvykius) ir nukreipimo URI – adresu, į kurį Google grąžins vartotoją.
3. Prisijungimas ir sutikimas. Vartotojas prisijungia prie Google (jei dar nėra prisijungęs) ir mato sutikimo ekraną su tuo, ko prašo programėlė. Spusteli Leisti.
4. Grįžimas su kodu. Google nukreipia naršyklę atgal į programėlės nukreipimo URI su trumpu, vienkartiniu autorizacijos kodu.
5. Keitimas serveryje. Programėlės serveris siunčia tą kodą kartu su savo kliento slaptažodžiu tiesiai Google ir gauna prieigos žetoną (dažnai ir atnaujinimo žetoną).
6. API naudojimas. Serveris su prieigos žetonu kviečia Google Calendar API ir gauna vartotojo įvykius.

Grįžimo iškvietimas 4 žingsnyje atrodo maždaug taip:

https://yourapp.com/auth/google/callback?code=4/0Adeu5B...&state=x7Kq9

O žetono atsakymas 5 žingsnyje yra JSON panašus į šį:

{
  "access_token": "ya29.a0Af...",
  "expires_in": 3599,
  "refresh_token": "1//0gL...",
  "scope": "https://www.googleapis.com/auth/calendar.readonly",
  "token_type": "Bearer"
}

Svarbi dizaino mintis: žetono keitimas vyksta serveris–serveris, todėl kliento slaptažodžiui ir žetonams nereikia keliauti per naršyklę.

OAuth, OpenID Connect ir jūsų pačių prisijungimas

Daugelis programėlių juos sujungia: prisijungimas el. paštu ir slaptažodžiu, „Prisijungti su Google“ per OIDC ir atskiri OAuth ryšiai su kitomis paslaugomis.

Pagrindinės sąvokos

Dažnos klaidingos nuomonės

• „OAuth yra prisijungimo sistema.“ Paprastas OAuth suteikia prieigą; tapatybę tvarko OpenID Connect. Nuogo prieigos žetono naudojimas kaip įrodymas, kas yra asmuo, yra sukėlęs tikrų saugumo klaidų.
• „Programėlė gauna mano slaptažodį.“ Niekada. Tam ir skirtas visas mechanizmas.
• „Prašyti daugiau leidimų nekenksminga.“ Vartotojai atsargiau žiūri į plačius prašymus, o teikėjai, pavyzdžiui, Google, gali reikalauti programėlės peržiūros jautriems ar ribotiems leidimams. Prašykite tik to, ko reikia.
• „Kliento slaptažodį galima dėti į priekinę dalį.“ Viskas naršyklės kode yra viešai matoma. Laikykite jį serverio pusės paslaptyse.
• „Veikia testavimo metu, vadinasi, veiks ir gamyboje.“ Teikėjai dažnai riboja nepatvirtintas programėles – pavyzdžiui, leidžia tik nurodytus testuotojus – o gyvo domeno nukreipimo URI reikia registruoti atskirai.
• „Žetonai galioja amžinai.“ Prieigos žetonai greitai baigia galioti, o vartotojai gali atšaukti prieigą. Programėlė turi tinkamai tvarkyti abu atvejus.

Ko klausti DI kūrėjo

• „Pridėk „Prisijungti su Google“ naudodamas OpenID Connect su gerai prižiūrima autentifikavimo biblioteka – nekurk OAuth srauto pats.“
• „Naudok autorizacijos kodo srautą su PKCE ir patikrink state parametrą.“
• „Kliento ID ir kliento slaptažodį nuskaityk iš aplinkos kintamųjų serveryje.“
• „Prašyk tik reikalingų leidimų: tik skaitymo prieiga prie kalendoriaus.“
• „Pasakyk, kuriuos nukreipimo URL reikia užregistruoti teikėjo konsolėje – peržiūrai, paskelbtam URL ir mano domenui.“
• „Atnaujinimo žetonus saugok užšifruotus duomenų bazėje, o pasibaigusius ar atšauktus tvarkyk prašydamas vartotojo prisijungti iš naujo.“
• „Leisk vartotojams atjungti integraciją savo nustatymų puslapyje.“

OAuth ir Mythex

Mythex neturi įmontuoto galutinių vartotojų prisijungimo jūsų kuriamoms programėlėms; jos dokumentacijoje aprašomas požiūris „atsinešk savo“ – pasirenkate autentifikavimo biblioteką ar talpinamą teikėją, jo raktus laikote kaip projekto paslaptis, o kodą parašo agentas. Autentifikacijos pridėjimo receptas turi pradinę užklausą tam. OAuth susidursite ir pačioje Mythex: prisijungti galite su Google, GitHub ryšiui saugojimui sinchronizuoti naudojamas GitHub OAuth, o DI klientai, jungiantys prie Mythex per MCP, eina per OAuth sutikimo puslapį. Daugiau – kas yra autentifikacija ir kas yra dviejų veiksnių autentifikacija.

Klausimai