Vad är OAuth? ”Logga in med Google” och delegerad åtkomst förklarat

OAuth är en öppen standard som låter en användare ge en app begränsad åtkomst till deras konto på en annan tjänst, utan att lämna över sitt lösenord. När du klickar på ”Anslut Google-kalender” och ser en skärm som frågar ”Tillåt den här appen att se dina händelser?” är det OAuth. Appen får en token för exakt det du godkände, som du kan återkalla när som helst. Samma mekanik, med ett extra lager som kallas OpenID Connect, driver ”Logga in med Google” och liknande knappar.

Varför OAuth spelar roll när du bygger med AI

OAuth dyker upp i två vanliga situationer när du bygger en app:

1. Social inloggning. Du vill att dina användare ska ”Logga in med Google” (eller Apple, Microsoft, GitHub) i stället för att skapa ytterligare ett lösenord. Se hur du lägger till inloggning i din app.
2. Koppla till användares konton på andra tjänster. Din app behöver läsa en användares kalender, publicera till deras sociala konto, hämta filer från deras molnlagring eller synka deras bokföringsdata.

I båda fallen kan din AI-byggare skriva koden, men vissa steg kan bara du göra: skapa en utvecklarapp hos leverantören, få ett client ID och en client secret, registrera callback-URL:er och, för vissa behörigheter, klara leverantörens granskning. Att förstå hur OAuth fungerar gör dessa steg — och felen de ger — mycket mindre mystiska. För den större bilden av inloggning, se vad autentisering är.

En vardagsliknelse

Tänk på ett hotellnyckelkort. Vid incheckningen bekräftar receptionen vem du är, sedan ger de dig ett kort som öppnar ditt rum och gymmet — inte de andra rummen, inte personalens områden — och som slutar fungera vid utcheckningen. Kortet innehåller inte ditt pass. Om du tappar det spärrar receptionen det och ger ut ett nytt.

• Receptionen är auktoriseringsservern (Googles inloggningssida).
• Din identitetskontroll är att du loggar in på Google.
• Nyckelkortet är åtkomsttoken.
• ”Rummet och gymmet endast” är scopes du godkände.
• Utcheckningen är att token löper ut, eller att du återkallar åtkomsten.

Appen du använder ser aldrig ditt Google-lösenord, bara nyckelkortet.

Hur OAuth fungerar, steg för steg

Det vanligaste flödet för webbappar är authorization code-flödet. Så här går det till när en användare kopplar sin Google-kalender till en schemaläggningsapp:

1. Klick. Användaren klickar på ”Anslut Google-kalender”.
2. Omdirigering till leverantören. Appen skickar webbläsaren till Google med sitt client ID, de scopes den vill ha (läsa kalenderhändelser) och redirect URI dit Google ska skicka tillbaka användaren.
3. Logga in och samtyck. Användaren loggar in på Google (om den inte redan är inloggad) och ser en samtyckesskärm som listar vad appen begär. De klickar på Tillåt.
4. Tillbaka med en kod. Google omdirigerar webbläsaren till appens redirect URI med en kortlivad, engångsbar authorization code.
5. Byt på servern. Appens server skickar koden, tillsammans med klienthemligheten, direkt till Google och tar emot en åtkomsttoken (och ofta en uppdateringstoken).
6. Använd API:et. Servern anropar Google Calendars API med åtkomsttoken och hämtar användarens händelser.

Callbacken i steg 4 ser ut ungefär så här:

https://yourapp.com/auth/google/callback?code=4/0Adeu5B...&state=x7Kq9

Och token-svaret i steg 5 är JSON som:

{
  "access_token": "ya29.a0Af...",
  "expires_in": 3599,
  "refresh_token": "1//0gL...",
  "scope": "https://www.googleapis.com/auth/calendar.readonly",
  "token_type": "Bearer"
}

Den viktiga designpunkten: tokenbytet sker server-till-server, så klienthemligheten och tokens behöver aldrig passera webbläsaren.

OAuth vs OpenID Connect vs din egen inloggning

Många appar kombinerar dem: e-post-och-lösenord-inloggning, plus ”Logga in med Google” via OIDC, plus separata OAuth-kopplingar till andra tjänster.

Nyckeltermer

Vanliga missuppfattningar

• ”OAuth är ett inloggningssystem.” Vanlig OAuth ger åtkomst; OpenID Connect hanterar identitet. Att använda en bar åtkomsttoken som bevis på vem någon är har orsakat riktiga säkerhetsbuggar.
• ”Appen får mitt lösenord.” Det gör den aldrig. Det är hela poängen.
• ”Att begära fler scopes är ofarligt.” Användare är mer försiktiga med breda förfrågningar, och leverantörer som Google kan kräva en appgranskning för känsliga eller begränsade scopes. Be bara om det du behöver.
• ”Klienthemligheten kan ligga i frontend.” Allt i webbläsarkod är publikt. Håll den i serverhemligheter.
• ”Det fungerar i test, så det fungerar i produktion.” Leverantörer begränsar ofta overifierade appar — till exempel till listade testanvändare — och redirect-URI:n för din live-domän måste registreras separat.
• ”Tokens varar för evigt.” Åtkomsttokens löper ut snabbt, och användare kan återkalla åtkomst. Din app måste hantera båda på ett smidigt sätt.

Vad du ska fråga din AI-byggare

• ”Lägg till ’Logga in med Google’ med OpenID Connect och ett väl underhållet auth-bibliotek — skriv inte OAuth-flödet själv.”
• ”Använd authorization code-flödet med PKCE och kontrollera state-parametern.”
• ”Läs client ID och client secret från miljövariabler på servern.”
• ”Begär bara de scopes vi behöver: skrivskyddad kalenderåtkomst.”
• ”Berätta vilka redirect-URL:er jag behöver registrera i leverantörens konsol, för förhandsvisningen, den publicerade URL:en och min egen domän.”
• ”Lagra uppdateringstokens krypterade i databasen, och hantera utgångna eller återkallade tokens genom att be användaren ansluta igen.”
• ”Låt användare koppla bort integrationen från sin inställningssida.”

OAuth och Mythex

Mythex har ingen inbyggd slutanvändarinloggning för apparna du bygger; dokumentationen beskriver ett eget-verktyg-tillvägagångssätt — du väljer ett auth-bibliotek eller en hostad leverantör, lagrar dess nycklar som projekthemligheter, och agenten skriver koden. Recept för att lägga till autentisering har en startprompt för detta. Du möter också OAuth i Mythex självt: du kan registrera dig med Google, att koppla GitHub för repo-synk använder GitHub OAuth, och AI-klienter som ansluter till Mythex via MCP går genom en OAuth-samtyckessida. För mer, se vad autentisering är och vad tvåfaktorsautentisering är.

Frågor