تكسير رمز Google Oauth 2.0 Refresh Tokens مفقود على GCE

فهم التناقض الرمز المميز في OAUTH 2.0

تخيل تطوير تدفق مصادقة سلس OAUTH 2.0 لتطبيق الويب الخاص بك. كل شيء يعمل بشكل مثالي على جهازك المحلي ، ولكن عند نشره على Google Cloud Engine (GCE) ، فإن قطعة أساسية - رمز التحديث - مفقود! 🤯 تمنع هذه المشكلة تجديد الرمز المميز التلقائي ، وتعطيل جلسات المستخدم.

يواجه العديد من المطورين هذه المشكلة المحيرة ، على الرغم من التنفيذ Access_type = "غير متصل" وغيرها من أفضل الممارسات. تُرجع بيئة المضيف المحلي باستمرار رمزًا تحديثًا ، بينما فشل النشر السحابي في القيام بذلك. يعمق الغموض حيث يشترك كلا الإعدادات في نفس قاعدة الكود وتدفق المصادقة.

بعد ساعات لا تحصى من تصحيح الأخطاء ، غالبًا ما يكمن الحل في معلمة تم تجاهلها: اِسْتَدْعَى خيار. قد يعني التغيير والتبديل في هذا الإعداد الفرق بين تلقي رمز تحديث والتعليق في حلقة مصادقة لا نهاية لها. ولكن لماذا يحدث هذا؟ 🤔

في هذه المقالة ، سنقوم بتشريح السبب الجذري لهذه المشكلة ، واستكشاف سلوك Google Oauth 2.0 ، ونقدم إصلاحًا ملموسًا. سواء كنت تدير تطبيق Flask أو إطار عمل آخر ، ستقوم بالابتعاد مع حل عمل وفهم أفضل لمراوغات مصادقة Google!

فهم استرجاع الرمز المميز لـ OAUTH 2.0 في تطبيقات Flask

OAUTH 2.0 هو إطار مصادقة يستخدم على نطاق واسع يسمح للتطبيقات لمصادقة المستخدمين عبر مقدمي الخدمات الخارجية مثل Google. في مثالنا ، قمنا بتنفيذ أ قارورة التطبيق باستخدام requests_oauthlib مكتبة للتعامل مع عملية المصادقة. ومع ذلك ، نشأت مشكلة رئيسية: تم منح رمز التحديث فقط عند التشغيل محليًا ولكن ليس في البيئة السحابية. منعت هذه المشكلة تجديد الرمز المميز التلقائي ، مما يتطلب من المستخدمين إعادة مصادقة بشكل متكرر.

يكمن جوهر الحل في ضبط طلب المصادقة. بشكل افتراضي ، تمنح Google فقط رمزًا تحديثًا عند طلبه بشكل صريح باستخدام Access_type = "غير متصل". ومع ذلك ، في بعض الحالات ، إضافة موجه = "موافقة" المعلمة ضرورية لإجبار Google على إعادة توجيه المستخدم للترخيص. هذا مهم بشكل خاص عند نشر التطبيق على محرك Google Cloud (GCE)، حيث قد لا تستمر الأذونات الممنوحة مسبقًا.

يبدأ البرنامج النصي الخاص بنا بتهيئة جلسة OAUTH وإعادة توجيه المستخدمين إلى صفحة تسجيل الدخول إلى Google. بمجرد مصادقة المستخدم ، تقوم Google بإرجاع رمز التفويض ، يتبادل التطبيق لرمز الوصول. كانت المشكلة الرئيسية هي أنه بدون المعلمات الصحيحة ، لن توفر Google رمزًا تحديثًا ، مما يجعل المصادقة طويلة الأجل مستحيلة. عن طريق تعديل الطلب لتضمين موجه = "موافقة"، نضمن أن يتم إنشاء رمز جديد لتحديث جديد.

للتحقق من صحة الحل ، أنشأنا أيضًا اختبار وحدة لمحاكاة طلب تسجيل الدخول والتحقق من إرجاع عنوان URL المصادقة الصحيح. هذا يضمن أن إصلاحنا يعمل عبر بيئات مختلفة. إذا واجهت مسألة مماثلة - حيث تتصرف المصادقة بشكل مختلف في الإنتاج مقابل التنمية - فهم كيف تعالج Oauth 2.0 جلسات المستخدم واستمرار الرمز المميز أمرًا بالغ الأهمية. مع هذه التعديلات ، يمكنك ضمان مصادقة سلسة وتجربة مستخدم أفضل. 🚀

from flask import Flask, redirect, session, request
from requests_oauthlib import OAuth2Session
app = Flask(__name__)
app.secret_key = "your_secret_key"
CLIENT_ID = "your_client_id"
CLIENT_SECRET = "your_client_secret"
AUTHORIZATION_BASE_URL = "https://accounts.google.com/o/oauth2/auth"
TOKEN_URL = "https://oauth2.googleapis.com/token"
REDIRECT_URI = "https://yourdomain.com/callback"
@app.route("/login")
def login():
    gcp = OAuth2Session(CLIENT_ID, redirect_uri=REDIRECT_URI, scope=["openid", "email", "profile"])
    authorization_url, state = gcp.authorization_url(AUTHORIZATION_BASE_URL, access_type="offline", prompt="consent")
    session["oauth_state"] = state
    return redirect(authorization_url)
@app.route("/callback")
def callback():
    gcp = OAuth2Session(CLIENT_ID, state=session["oauth_state"], redirect_uri=REDIRECT_URI)
    token = gcp.fetch_token(TOKEN_URL, client_secret=CLIENT_SECRET, authorization_response=request.url)
    session["oauth_token"] = token
    return "Login Successful"
if __name__ == "__main__":
    app.run(debug=True)

import unittest
from app import app
class OAuthTestCase(unittest.TestCase):
    def setUp(self):
        self.app = app.test_client()
    def test_login_redirect(self):
        response = self.app.get("/login")
        self.assertEqual(response.status_code, 302)
        self.assertIn("accounts.google.com", response.location)
if __name__ == "__main__":
    unittest.main()

ضمان مصادقة OAUTH 2.0 آمنة ومستمرة في البيئات السحابية

يواجه أحد مطوري التحدي الرئيسي عند نشر مصادقة OAUTH 2.0 في السحابة أن عملية المصادقة تظل سلسة عبر الجلسات. عندما لا يتم منح رمز تحديث ، يجب على المستخدمين إعادة توحيد المراقبين بشكل متكرر ، مما قد يعطل تجربة المستخدم. غالبًا ما تنشأ هذه المشكلة بسبب التكوين غير الصحيح لـ شاشة موافقة OAUTH 2.0 في وحدة التحكم في Google Cloud ، مما دفع Google إلى افتراض أن التطبيق لا يتطلب الوصول إلى وضع عدم الاتصال.

هناك عامل حاسم آخر وهو ضمان تكوين جميع نطاقات API الضرورية بشكل صحيح. إذا لم يطلب تطبيق سحابة مستضيفه الحق Oauth 2.0 النطاقات، قد تحد Google الأذونات الممنوحة ، باستثناء الرموز المميزة للتحديث. يجب على المطورين التحقق من أن تطبيقهم يطلب صراحة الوصول دون اتصال بالإنترنت ويشمل النطاقات ذات الصلة ، مثل "OpenID" و "البريد الإلكتروني" و "الملف الشخصي"، في طلب المصادقة. بالإضافة إلى ذلك ، باستخدام include_granted_scopes = "true" المعلمة تساعد في الحفاظ على الأذونات الممنوحة في الجلسات السابقة.

لزيادة تعزيز أمن المصادقة والمثابرة ، يجب على المطورين تنفيذ قوي تخزين الرمز المميز. بدلاً من تخزين الرموز في متغيرات الجلسة ، يضمن استخدام قاعدة بيانات آمنة أو آلية تخزين مشفرة أن تظل الرموز المميزة للوصول ومواد التحديث متاحة عبر إعادة تشغيل الخادم. من خلال اتباع هذه الممارسات الأفضل ، يمكن للمطورين ضمان تدفق مصادقة سلس وغير متوقف في التطبيقات التي تستضيفها السحابة. 🔐