OAuth гэж юу вэ? «Google-ээр нэвтрэх» ба эрхийн хандалтыг тайлбарлая

OAuth бол хэрэглэгч нэг аппд нөгөө үйлчилгээний дансандаа хязгаарлагдмал хандалт өгөх, нууц үгээ өгөлгүйгээр нээлттэй стандарт юм. «Connect Google Calendar» товчийг дараад «Энэ апп таны үйл явдлуудыг харах уу?» гэсэн дэлгэц гарч ирэхэд энэ нь OAuth юм. Апп зөвхөн та зөвшөөрсөн зүйлд зориулсан токен авдаг бөгөөд үүнийг хүссэн үедээ цуцалж болно. Үүнтэй ижил механизм, нэмэлт OpenID Connect давхарга нэмснээр «Google-ээр нэвтрэх» болон үүнтэй төстэй товчлууруудыг бүрдүүлдэг.

Яагаад OAuth AI-аар бүтээхэд чухал вэ

OAuth аппаа бүтээх үед хоёр нийтлэг тохиолдолд гарч ирдэг:

1. Нийгмийн нэвтрэлт. Хэрэглэгчид шинэ нууц үг үүсгэлгүйгээр «Google-ээр нэвтрэх» (эсвэл Apple, Microsoft, GitHub) ашиглах. Харна уу: аппдаа нэвтрэлт нэмэх арга.
2. Хэрэглэгчдийн бусад үйлчилгээний дансанд холбогдох. Таны апп хэрэглэгчийн календарь унших, социал дансанд нийтлэх, cloud drive-ээс файл татах эсвэл нягтлангийн өгөгдлөө синк хийх хэрэгтэй.

Аль ч тохиолдолд AI builder таны кодыг бичиж чадна, гэвч зарим алхмыг зөвхөн та хийх ёстой: үйлчилгээ олгогчтой developer апп үүсгэх, client ID болон client secret авах, callback URL бүртгэх, зарим эрхийн хувьд үйлчилгээ олгогчийн шалгалтад тэнцэх. OAuth хэрхэн ажилладагийг мэдвэл эдгээр алхмууд болон тэдгээрийн алдаа бүхэлдээ бага төөрөгдүүлдэг болно. Нэвтрэлтийн илүү том зургийг авахыг хүсвэл нэвтрэлт гэж юу вэ-г үзнэ үү.

Өдөр тутмын зүйрлэл

Зочид буудлын хаалганы картыг бодоорой. Бүртгүүлэхдээ ресепшн таныг баталгаажуулаад, танай өрөө болон спорт заалд нээгддэг, харин бусад өрөө, ажилтны хэсэгт биш картыг өгнө. Карт нь таны паспортыг агуулдаггүй. Гарах үед картыг цуцална, алдсан бол шинийг нь олгоно.

• Ресепшн бол зөвшөөрөл олгогч сервер (Google-ийн нэвтрэх хуудас).
• Таны таниулалт бол Google-д нэвтрэх.
• Хаалганы карт бол хандалтын токен.
• «Өрөө ба спорт заал л» бол таны зөвшөөрсөн scope-ууд.
• Гарах бол токены хугацаа дуусах, эсвэл та хандалтыг цуцлах.

Та ашиглаж буй апп таны Google нууц үгийг хэзээ ч харахгүй, зөвхөн картыг нь харна.

OAuth хэрхэн ажилладаг вэ, алхам алхмаар

Вэб аппуудын хамгийн түгээмэл урсгал бол authorization code flow. Хэрэглэгч Google календараа scheduling аппдаа холбох үед дараах зүйл болно:

1. Дарах. Хэрэглэгч «Connect Google Calendar» дарна.
2. Үйлчилгээ олгогч рүү шилжүүлэх. Апп хөтчийг Google руу client ID, хүссэн scope-ууд (календарийн үйл явдлыг унших) болон redirect URI-тай илгээнэ — Google хэрэглэгчийг буцааж хаашаа илгээх хаяг.
3. Нэвтрэх, зөвшөөрөх. Хэрэглэгч Google-д нэвтэрнэ (хэрэв аль хэдийн нэвтрээгүй бол) мөн апп юу хүсч буйг жагсаасан зөвшөөрлийн дэлгэцийг харж, Allow дарна.
4. Кодтой буцах. Google хөтчийг аппын redirect URI руу богино хугацаатай, нэг удаагийн authorization code-тойгоор буцаана.
5. Серверт солилцох. Аппын сервер тэр кодыг client secret-тэйгээ хамт шууд Google рүү илгээж, access token (ихэвчлэн мөн refresh token) авна.
6. API ашиглах. Сервер access token-оор Google Calendar API-г дуудаж, хэрэглэгчийн үйл явдлуудыг авна.

Дөрөвдүгээр алхам дахь callback ийм харагдана:

https://yourapp.com/auth/google/callback?code=4/0Adeu5B...&state=x7Kq9

Тавдугаар алхам дахь токений хариу нь JSON шиг байна:

{
  "access_token": "ya29.a0Af...",
  "expires_in": 3599,
  "refresh_token": "1//0gL...",
  "scope": "https://www.googleapis.com/auth/calendar.readonly",
  "token_type": "Bearer"
}

Чухал зарчим: токений солилцоо сервер-сервер хооронд явагддаг тул client secret болон токенууд хөтчөөр хэзээ ч дамжих шаардлагагүй.

OAuth, OpenID Connect ба өөрийн нэвтрэлт

Олон апп тэдгээрийг хослуулдаг: имэйл, нууц үгээр нэвтрэлт, OIDC-ээр «Google-ээр нэвтрэх», мөн бусад үйлчилгээтэй тусдаа OAuth холболтууд.

Гол нэр томъёо

Түгээмэл буруу ойлголтууд

• «OAuth бол нэвтрэх систем.» Энгийн OAuth хандалт олгодог; OpenID Connect таниулалтыг хариуцдаг. Зөвхөн access token-ийг хэн гэдгийг нотлох зүйл болгон ашиглах нь бодит аюулгүй байдлын алдаа гаргасан.
• «Апп миний нууц үгийг авдаг.» Хэзээ ч авдаггүй. Энэ нь цэг.
• «Илүү scope хүсэх нь хор хөнөөлгүй.» Хэрэглэгчид өргөн хүсэлтээс болгоомжилдог, мөн Google зэрэг үйлчилгээ олгогчид мэдрэмтгий эсвэл хязгаарлагдмал scope-д аппын шалгалт шаардаж болно. Зөвхөн хэрэгтэйгээ хүс.
• «Client secret-ийг frontend-д байрлуулж болно.» Хөтчийн кодонд байгаа бүх зүйл олонд нээлттэй. Серверийн нууцуудад хадгал.
• «Туршилтад ажилласан бол production дээр ч ажиллана.» Үйлчилгээ олгогчид баталгаажаагүй аппуудыг хязгаарладаг, жишээ нь жагсаасан туршигч хэрэглэгчдээр. Мөн таны бодит домэйны redirect URI тусад нь бүртгэгдэх ёстой.
• «Токен үүрд хүчинтэй.» Access token хурдан дуусдаг, хэрэглэгч хандалтыг цуцлаж болно. Таны апп хоёуланг нь зохистой зохицуулах ёстой.

AI builder-доо юу асуух вэ

• «Google-ээр нэвтрэх нэмээрэй, OpenID Connect ашиглан, сайн хөгжүүлсэн auth сангаар — OAuth урсгалыг өөрөө бичихгүй.»
• «Authorization code flow-г PKCE-тэй ашиглаж, state параметрийг шалгаарай.»
• «Client ID болон client secret-ийг серверийн орчны хувьсагчаас уншаарай.»
• «Зөвхөн хэрэгтэй scope-уудыг хүсэж байгаарай: зөвхөн календарийг унших.»
• «Провайдерын консолд бүртгэх шаардлагатай бүх redirect URL-ийг хэлээрэй: preview, нийтлэгдсэн URL болон custom domain-д.»
• «Refresh token-ийг өгөгдлийн санд шифрлэн хадгалж, хугацаа дууссан эсвэл цуцлагдсан токеныг хэрэглэгчээс дахин холбохыг гуйгаарай.»
• «Хэрэглэгч тохиргооны хуудаснаасаа холболтыг салгах боломжтой байлгаарай.»

OAuth Mythex дээр

Mythex нь таны бүтээсэн аппуудад хэрэглэгчийн нэвтрэлтийг бэлэн байдлаар өгдөггүй; баримт бичгүүд нь «өөрийнхөө» аргыг тайлбарладаг — та таниулалтын сан эсвэл hosted үйлчилгээ сонгож, түлхүүрүүдээ төслийн нууцуудаар хадгалж, агент кодыг бичнэ. Нэвтрэлт нэмэх жор-д үүний эхлэх заалт байна. Mythex-ийн өөрийнх нь дотор ч OAuth-тай тулгарна: Google-ээр бүртгүүлж болно, repo синкэд GitHub холбох нь GitHub OAuth ашигладаг, мөн Mythex-д MCP-ээр холбогдох AI клиентүүд OAuth зөвшөөрлийн хуудсаар дамждаг. Дэлгэрэнгүйг нэвтрэлт гэж юу вэ болон хоёр шатлалт баталгаажуулалт гэж юу вэ-аас үзнэ үү.

Асуултууд