OAuth అంటే ఏమిటి? "Google తో సైన్ ఇన్" మరియు ప్రతినిధి ప్రాప్యత వివరణ
OAuth అనేది ఒక ఓపెన్ ప్రమాణం, ఇది ఒక వినియోగదారు తన ఖాతాకు మరో సేవలో ఒక యాప్‌కు పరిమిత ప్రాప్యత ఇవ్వడానికి అనుమతిస్తుంది — పాస్‌వర్డ్ ఇవ్వకుండానే. “Connect Google Calendar” నొక్కినప్పుడు “ఈ యాప్ మీ ఈవెంట్లను చూడవచ్చా?” అని అడిగే స్క్రీన్ కనిపిస్తే, అది OAuth. యాప్‌కు మీరు ఆమోదించిన దానికే సరిపడే టోకెన్ వస్తుంది, మరియు మీరు ఎప్పుడైనా దాన్ని రద్దు చేయవచ్చు. OpenID Connect అనే అదనపు పొరతో అదే యంత్రాంగం “Google తో సైన్ ఇన్” మరియు ఇలాంటి బటన్లకు శక్తినిస్తుంది.
AI తో నిర్మించినప్పుడు OAuth ఎందుకు ముఖ్యం
యాప్ నిర్మించేటప్పుడు OAuth రెండు సాధారణ పరిస్థితుల్లో కనిపిస్తుంది:
- సోషల్ లాగిన్. మీ వినియోగదారులు కొత్త పాస్‌వర్డ్ సృష్టించకుండా “Google తో సైన్ ఇన్” (లేదా Apple, Microsoft, GitHub) చేయాలని మీరు కోరుకుంటారు. చూడండి how to add login to your app.
- ఇతర సేవల్లో వినియోగదారుల ఖాతాలకు కనెక్ట్ కావడం. మీ యాప్‌కు వినియోగదారు క్యాలెండర్ చదవాలి, వారి సోషల్ ఖాతాలో పోస్ట్ చేయాలి, క్లౌడ్ డ్రైవ్ నుండి ఫైళ్లు తీసుకోవాలి లేదా అకౌంటింగ్ డేటాను సింక్ చేయాలి.
రెండు సందర్భాల్లోనూ మీ AI బిల్డర్ కోడ్ రాయగలదు, కానీ కొన్ని దశలు మీరు మాత్రమే చేయగలరు: ప్రొవైడర్‌తో డెవలపర్ యాప్ సృష్టించడం, client ID మరియు client secret పొందడం, కాల్‌బ్యాక్ URLలు నమోదు చేయడం, మరియు కొన్ని అనుమతుల కోసం ప్రొవైడర్ సమీక్షలో ఉత్తీర్ణత సాధించడం. OAuth ఎలా పనిచేస్తుందో తెలిస్తే ఆ దశలు, మరియు అవి ఇచ్చే ఎర్రర్లు, అంత గందరగోళంగా అనిపించవు. లాగిన్ గురించి పెద్ద చిత్రం కోసం, చూడండి what authentication is.
రోజువారీ పోలిక
హోటల్ కీ కార్డ్ ఊహించుకోండి. చెక్-ఇన్ వద్ద ఫ్రంట్ డెస్క్ మీరు ఎవరో నిర్ధారించుకుంటుంది, తర్వాత మీ గదిని మరియు జిమ్‌ను తెరిచే కార్డ్ ఇస్తుంది — మిగతా గదులు కాదు, స్టాఫ్ ప్రాంతాలు కాదు — మరియు చెక్‌అవుట్ తర్వాత అది పనిచేయదు. కార్డులో మీ పాస్‌పోర్ట్ ఉండదు. పోతే, డెస్క్ దాన్ని రద్దు చేసి కొత్తది ఇస్తుంది.
- ఫ్రంట్ డెస్క్ అంటే authorization server (Google సైన్-ఇన్ పేజీ).
- మీ ID తనిఖీ అంటే Google లో మీరు లాగిన్ అవ్వడం.
- కీ కార్డ్ అంటే యాక్సెస్ టోకెన్.
- “గది మరియు జిమ్ మాత్రమే” అంటే మీరు ఆమోదించిన స్కోప్‌లు.
- చెక్‌అవుట్ అంటే టోకెన్ గడువు ముగియడం, లేదా మీరు యాక్సెస్ రద్దు చేయడం.
మీరు వాడుతున్న యాప్ మీ Google పాస్‌వర్డ్‌ను ఎప్పుడూ చూడదు, కార్డ్ మాత్రమే చూస్తుంది.
OAuth ఎలా పనిచేస్తుంది, దశల వారీగా
వెబ్ యాప్‌లకు అత్యంత సాధారణ ఫ్లో authorization code flow. ఒక వినియోగదారు తన Google Calendar ను షెడ్యూలింగ్ యాప్‌కు కనెక్ట్ చేసినప్పుడు ఏమి జరుగుతుందో ఇక్కడ ఉంది:
- క్లిక్. వినియోగదారు “Connect Google Calendar” నొక్కుతారు.
- ప్రొవైడర్‌కు రీడైరెక్ట్. యాప్ బ్రౌజర్‌ను తన client ID, కావాల్సిన స్కోప్‌లు (క్యాలెండర్ ఈవెంట్లు చదవడం) మరియు Google వినియోగదారుని తిరిగి పంపాల్సిన redirect URI తో Google కు పంపుతుంది.
- లాగిన్ మరియు సమ్మతి. వినియోగదారు (ఇంకా కాకపోతే) Google లో సైన్ ఇన్ అవుతారు మరియు యాప్ అడుగుతున్నదేమిటో జాబితా చేసే సమ్మతి స్క్రీన్ చూస్తారు. Allow నొక్కుతారు.
- కోడ్‌తో తిరిగి. Google బ్రౌజర్‌ను యాప్ redirect URI కు, చిన్న కాలపరిమితి గల, ఒకసారి మాత్రమే వాడగల authorization code తో తిరిగి పంపుతుంది.
- సర్వర్‌లో మార్పిడి. యాప్ సర్వర్ ఆ కోడ్‌ను, దాని client secret తో కలిపి, నేరుగా Google కు పంపి access token (మరియు తరచూ refresh token) అందుకుంటుంది.
- API వాడకం. సర్వర్ యాక్సెస్ టోకెన్‌తో Google Calendar API ను కాల్ చేసి వినియోగదారు ఈవెంట్లు పొందుతుంది.
దశ 4 లోని కాల్‌బ్యాక్ ఇలా కనిపిస్తుంది:
https://yourapp.com/auth/google/callback?code=4/0Adeu5B...&state=x7Kq9
మరియు దశ 5 లోని టోకెన్ ప్రతిస్పందన ఇలాంటి JSON:
{
"access_token": "ya29.a0Af...",
"expires_in": 3599,
"refresh_token": "1//0gL...",
"scope": "https://www.googleapis.com/auth/calendar.readonly",
"token_type": "Bearer"
}
ముఖ్యమైన డిజైన్ అంశం: టోకెన్ మార్పిడి సర్వర్-టు-సర్వర్ జరుగుతుంది, కాబట్టి client secret మరియు టోకెన్లు బ్రౌజర్ ద్వారా ఎప్పుడూ వెళ్లాల్సిన అవసరం లేదు.
OAuth vs OpenID Connect vs మీ స్వంత లాగిన్
| ఏమి సమాధానం ఇస్తుంది | ఉదాహరణ | |
|---|---|---|
| OAuth 2.0 | “ఈ యాప్ వినియోగదారు తరఫున ఏమి చేయడానికి అనుమతి ఉంది?” (authorization) | వినియోగదారు క్యాలెండర్ చదవడం |
| OpenID Connect (OIDC) | “ఈ వినియోగదారు ఎవరు?” (authentication), OAuth పై నిర్మితం | “Google తో సైన్ ఇన్” ధృవీకరించిన ఈమెయిల్ ఇవ్వడం |
| మీ స్వంత లాగిన్ | “ఈ ఖాతాకు ఇది సరైన పాస్‌వర్డ్ కదా?” | మీ డేటాబేస్‌లో నిల్వ చేసిన (హ్యాష్ చేసిన) ఈమెయిల్ మరియు పాస్‌వర్డ్ |
అనేక యాప్‌లు వీటిని కలుపుతాయి: ఈమెయిల్-పాస్‌వర్డ్ లాగిన్, OIDC ద్వారా “Google తో సైన్ ఇన్”, మరియు ఇతర సేవలకు విడి OAuth కనెక్షన్లు.
ముఖ్యమైన పదాలు
| పదం | అర్థం |
|---|---|
| Provider / authorization server | వినియోగదారు లాగిన్ అయి ప్రాప్యత మంజూరు చేసే సేవ — Google, Microsoft, GitHub. |
| Client | ప్రొవైడర్ వద్ద నమోదైన మీ యాప్. |
| Client ID | ప్రొవైడర్‌తో మీ యాప్ యొక్క పబ్లిక్ గుర్తింపు. |
| Client secret | ప్రొవైడర్‌తో మీ యాప్ యొక్క ప్రైవేట్ పాస్‌వర్డ్. సర్వర్-మాత్రమే. |
| Scope | “క్యాలెండర్ చదవడం” లేదా “ఈమెయిల్ చిరునామా చూడటం” వంటి నిర్దిష్ట అనుమతి. |
| Consent screen | అభ్యర్థించిన స్కోప్‌లను వినియోగదారు చూసి ఆమోదించే పేజీ. |
| Redirect URI / callback URL | ప్రొవైడర్ వినియోగదారుని తిరిగి పంపే చోటు. ముందుగానే నమోదై ఖచ్చితంగా సరిపోలాలి. |
| Access token | API కాల్ చేయడానికి స్వల్పకాలిక ఆధారం. |
| Refresh token | కొత్త యాక్సెస్ టోకెన్లు పొందడానికి దీర్ఘకాలిక ఆధారం. పాస్‌వర్డ్ లాగా భద్రపరచండి. |
| ID token | OIDC లో, వినియోగదారు ఎవరో వివరించే సంతకం చేసిన టోకెన్. |
| PKCE | అడ్డగించిన కోడ్‌లను ఉపయోగించకుండా ఆపే అదనపు తనిఖీ (“proof key”). అన్ని క్లయింట్లకూ సిఫార్సు. |
| state | ఫ్లోను నకిలీ అభ్యర్థనల నుండి రక్షించే యాదృచ్ఛిక విలువ. |
సాధారణ అపోహలు
- “OAuth ఒక లాగిన్ వ్యవస్థ.” సాదా OAuth ప్రాప్యత మంజూరు చేస్తుంది; గుర్తింపును OpenID Connect నిర్వహిస్తుంది. ఎవరో అనేదానికి కేవలం యాక్సెస్ టోకెన్‌ను రుజువుగా వాడటం నిజమైన భద్రతా బగ్‌లకు కారణమైంది.
- “యాప్‌కు నా పాస్‌వర్డ్ వస్తుంది.” అది ఎప్పుడూ రాదు. అదే దాని ఉద్దేశం.
- “ఎక్కువ స్కోప్‌లు అడగడం హానిరహితం.” విశాల అభ్యర్థనల పట్ల వినియోగదారులు జాగ్రత్తగా ఉంటారు, మరియు Google వంటి ప్రొవైడర్లు సున్నితమైన లేదా పరిమితమైన స్కోప్‌లకు యాప్ సమీక్షను కోరవచ్చు. మీకు అవసరమైనవే అడగండి.
- “client secret ను ఫ్రంట్‌ఎండ్‌లో పెట్టవచ్చు.” బ్రౌజర్ కోడ్‌లో ఉన్నదంతా పబ్లిక్. దాన్ని server-side secrets లో ఉంచండి.
- “టెస్టింగ్‌లో పనిచేస్తే ప్రొడక్షన్‌లో కూడా పనిచేస్తుంది.” ప్రొవైడర్లు ధృవీకరించని యాప్‌లను పరిమితం చేస్తారు — ఉదాహరణకు జాబితాలో ఉన్న టెస్ట్ వినియోగదారులకు మాత్రమే — మరియు మీ లైవ్ డొమైన్ కోసం రీడైరెక్ట్ URI విడిగా నమోదు కావాలి.
- “టోకెన్లు ఎప్పటికీ ఉంటాయి.” యాక్సెస్ టోకెన్లు త్వరగా గడువు ముగుస్తాయి, మరియు వినియోగదారులు యాక్సెస్ రద్దు చేయవచ్చు. మీ యాప్ రెండింటినీ సజావుగా నిర్వహించాలి.
మీ AI బిల్డర్‌ను ఏమి అడగాలి
- “ఒక బాగా నిర్వహించబడే auth లైబ్రరీతో OpenID Connect ద్వారా 'Google తో సైన్ ఇన్' జోడించు — OAuth ఫ్లోను చేతితో రాయవద్దు.”
- “PKCE తో authorization code flow ఉపయోగించు మరియు
stateపారామీటర్ తనిఖీ చేయి.” - “client ID మరియు client secret ను సర్వర్‌లో environment variables నుండి చదువు.”
- “మనకు అవసరమైన స్కోప్‌లు మాత్రమే అడుగు: క్యాలెండర్ కు read-only యాక్సెస్.”
- “ప్రొవైడర్ కన్సోల్‌లో నమోదు చేయాల్సిన ప్రతి రీడైరెక్ట్ URL చెప్పు — ప్రివ్యూ, ప్రచురించిన URL మరియు నా కస్టమ్ డొమైన్ కోసం.”
- “రిఫ్రెష్ టోకెన్లు డేటాబేస్‌లో ఎన్‌క్రిప్ట్ చేసి నిల్వ చేయి, గడువు ముగిసిన లేదా రద్దైన టోకెన్లను వినియోగదారుని మళ్లీ కనెక్ట్ అడగడం ద్వారా నిర్వహించు.”
- “వినియోగదారులు తమ సెట్టింగ్‌ల పేజీ నుండి ఇంటిగ్రేషన్‌ను డిస్‌కనెక్ట్ చేయగలగాలి.”
Mythex లో OAuth
Mythex లో మీరు నిర్మించే యాప్‌ల కోసం అంతర్నిర్మిత ఎండ్-యూజర్ లాగిన్ లేదు; దాని డాక్స్ “మీ స్వంతంగా తెచ్చుకోండి” విధానాన్ని వివరిస్తాయి — మీరు auth లైబ్రరీ లేదా హోస్ట్ చేసిన ప్రొవైడర్‌ను ఎంచుకుంటారు, దాని కీలను project secrets గా నిల్వ చేస్తారు, మరియు ఏజెంట్ కోడ్ రాస్తుంది. add authentication recipe దీనికి ప్రారంభ ప్రాంప్ట్ ఇస్తుంది. Mythex లోనే కూడా మీరు OAuth ను ఎదుర్కొంటారు: Google తో సైన్ అప్ చేయవచ్చు, రిపో సింక్ కోసం GitHub కనెక్ట్ చేయడం GitHub OAuth ఉపయోగిస్తుంది, మరియు MCP ద్వారా Mythex కు కనెక్ట్ అయ్యే AI క్లయింట్లు OAuth సమ్మతి పేజీ ద్వారా వెళ్తాయి. మరిన్ని వివరాలకు, చూడండి what authentication is మరియు what two-factor authentication is.
ప్రశ్నలు
OAuth అంటే సరళంగా ఏమిటి?
OAuth అనేది ఒక వినియోగదారు మరో సేవలోని తన ఖాతాకు ఒక యాప్‌కు పరిమిత ప్రాప్యత ఇవ్వడానికి ఒక ప్రామాణిక మార్గం — ఉదాహరణకు షెడ్యూలింగ్ యాప్ తన Google Calendar ను చదవడానికి — ఆ యాప్‌కు పాస్‌వర్డ్ ఇవ్వకుండానే. వినియోగదారు నిర్దిష్ట అనుమతులను ఆమోదిస్తారు, యాప్ వాటికే సరిపడే టోకెన్ అందుకుంటుంది.
OAuth అంటే "Google తో సైన్ ఇన్" అదేనా?
"Google తో సైన్ ఇన్" అనేది OAuth 2.0 మరియు OpenID Connect పై నిర్మితం. OpenID Connect అనేది OAuth పై ఉండే పొర, ఇది వినియోగదారు ఎవరో చెప్పే ప్రామాణిక మార్గాన్ని జోడిస్తుంది. OAuth స్వయంగా ప్రాప్యత మంజూరు చేయడం గురించి; OpenID Connect దాన్ని లాగిన్‌గా మారుస్తుంది.
OAuth యాక్సెస్ టోకెన్ అంటే ఏమిటి?
యాక్సెస్ టోకెన్ అనేది ఒక సేవ యొక్క API కు యాప్ ప్రాప్యత మంజూరైందని నిరూపించడానికి పంపే ఆధారం. ఇది సాధారణంగా స్వల్పకాలికం, మరియు వినియోగదారు ఆమోదించిన అనుమతులకు (స్కోప్‌లు) పరిమితం. రిఫ్రెష్ టోకెన్ ఇస్తే, యాప్ వినియోగదారుని మళ్లీ అడగకుండానే కొత్త యాక్సెస్ టోకెన్లు పొందగలదు.
redirect_uri_mismatch అంటే ఏమిటి?
సైన్ ఇన్ సమయంలో మీ యాప్ పంపిన కాల్‌బ్యాక్ URL, ప్రొవైడర్ డెవలపర్ కన్సోల్‌లో నమోదైన దానితో ఖచ్చితంగా సరిపోలడం లేదని అర్థం. మీ యాప్ నడిచే ప్రతి చిరునామాకు ఖచ్చితమైన URL జోడించండి — https, డొమైన్, పాత్ మరియు చివర ఉన్న స్లాష్ కూడా కలిపి.
OAuth సురక్షితమా?
సరిగ్గా అమలు చేస్తే OAuth 2.0 విస్తృతంగా ఉపయోగించబడుతుంది మరియు సురక్షితం: PKCE తో authorization code flow, ఖచ్చితమైన రీడైరెక్ట్ URLలు, state పారామీటర్ వాడటం, మరియు client secret మరియు టోకెన్లను సర్వర్‌లోనే ఉంచడం. చాలా సమస్యలు అమలులోని షార్ట్‌కట్‌ల నుండి వస్తాయి, అందుకే బాగా నిర్వహించబడే లైబ్రరీ ఉపయోగించమని సూచిస్తారు.