গুগল ওআউথ 2.0 রিফ্রেশ টোকেনগুলি জিসিইতে অনুপস্থিত ক্র্যাকিং

OAuth 2.0 এ রিফ্রেশ টোকেন তাত্পর্য বোঝা

আপনার ওয়েব অ্যাপের জন্য একটি বিরামবিহীন ওএউথ 2.0 প্রমাণীকরণ প্রবাহ বিকাশের কল্পনা করুন। আপনার স্থানীয় মেশিনে সবকিছু নিখুঁতভাবে কাজ করে, তবে যখন গুগল ক্লাউড ইঞ্জিনে (জিসিই) মোতায়েন করা হয়, তখন একটি প্রয়োজনীয় টুকরো - রিফ্রেশ টোকেন - অনুপস্থিত! 🤯 এই সমস্যাটি স্বয়ংক্রিয় টোকেন পুনর্নবীকরণকে বাধা দেয়, ব্যবহারকারী সেশনগুলিকে ব্যাহত করে।

বাস্তবায়ন সত্ত্বেও অনেক বিকাশকারী এই বিভ্রান্তিকর সমস্যার মুখোমুখি হন অ্যাক্সেস_ টাইপ = "অফলাইন" এবং অন্যান্য সেরা অনুশীলন। লোকালহোস্ট পরিবেশ ধারাবাহিকভাবে একটি রিফ্রেশ টোকেন ফেরত দেয়, যখন মেঘ স্থাপনা এটি করতে ব্যর্থ হয়। উভয় সেটআপ একই কোডবেস এবং প্রমাণীকরণ প্রবাহ ভাগ করে নেওয়ার সাথে সাথে রহস্য আরও গভীর হয়।

ডিবাগিংয়ের অগণিত ঘন্টা পরে, সমাধানটি প্রায়শই একটি উপেক্ষিত প্যারামিটারে থাকে: দ্য প্রম্পট বিকল্প। এই সেটিংটি টুইট করার অর্থ একটি রিফ্রেশ টোকেন গ্রহণ এবং অন্তহীন প্রমাণীকরণ লুপে আটকে থাকার মধ্যে পার্থক্য হতে পারে। তবে কেন এমন হয়? 🤔

এই নিবন্ধে, আমরা এই সমস্যার মূল কারণটি বিচ্ছিন্ন করব, গুগলের OAuth 2.0 আচরণটি অন্বেষণ করব এবং একটি কংক্রিট ফিক্স সরবরাহ করব। আপনি চালাচ্ছেন কিনা ফ্লাস্ক অ্যাপ বা অন্য কোনও কাঠামো, আপনি একটি কার্যকরী সমাধান এবং গুগলের প্রমাণীকরণের আরও ভাল বোঝার সাথে দূরে চলে যাবেন!

ফ্লাস্ক অ্যাপ্লিকেশনগুলিতে OAuth 2.0 রিফ্রেশ টোকেন পুনরুদ্ধার বোঝা

OAuth 2.0 হ'ল একটি বহুল ব্যবহৃত প্রমাণীকরণ কাঠামো যা অ্যাপ্লিকেশনগুলিকে গুগলের মতো বাহ্যিক সরবরাহকারীদের মাধ্যমে ব্যবহারকারীদের প্রমাণীকরণ করতে দেয়। আমাদের উদাহরণে, আমরা একটি বাস্তবায়ন করেছি ফ্লাস্ক অ্যাপ্লিকেশন ব্যবহার করে অনুরোধ_ওআউথলিব প্রমাণীকরণ প্রক্রিয়া পরিচালনা করতে গ্রন্থাগার। যাইহোক, একটি মূল সমস্যা দেখা দিয়েছে: স্থানীয়ভাবে চলার সময় তবে মেঘের পরিবেশে নয় কেবল রিফ্রেশ টোকেনটি মঞ্জুর করা হয়েছিল। এই সমস্যাটি স্বয়ংক্রিয় টোকেন পুনর্নবীকরণকে রোধ করে, ব্যবহারকারীদের ঘন ঘন পুনরায় প্রমাণিত করতে প্রয়োজন।

সমাধানের মূলটি প্রমাণীকরণের অনুরোধটি সামঞ্জস্য করার মধ্যে রয়েছে। ডিফল্টরূপে, গুগল কেবলমাত্র একটি রিফ্রেশ টোকেন মঞ্জুর করে যখন স্পষ্টভাবে ব্যবহার করার জন্য অনুরোধ করা হয় অ্যাক্সেস_ টাইপ = "অফলাইন"। যাইহোক, কিছু ক্ষেত্রে, যোগ করা প্রম্পট = "সম্মতি" প্যারামিটারটি গুগলকে অনুমোদনের জন্য ব্যবহারকারীকে পুনরায় প্রচার করতে বাধ্য করার জন্য প্রয়োজনীয়। আবেদনটি মোতায়েন করার সময় এটি বিশেষভাবে গুরুত্বপূর্ণ গুগল ক্লাউড ইঞ্জিন (জিসিই), যেখানে পূর্বে অনুমোদিত অনুমতিগুলি বহন করতে পারে না।

আমাদের স্ক্রিপ্টটি একটি OAuth সেশন শুরু করে এবং গুগলের লগইন পৃষ্ঠায় ব্যবহারকারীদের পুনর্নির্দেশ করে শুরু হয়। ব্যবহারকারী একবার প্রমাণীকরণ করে, গুগল একটি অনুমোদনের কোডটি ফেরত দেয়, যা অ্যাপ্লিকেশনটি অ্যাক্সেস টোকেনের জন্য বিনিময় করে। মূল সমস্যাটি হ'ল, সঠিক পরামিতিগুলি ছাড়াই গুগল একটি রিফ্রেশ টোকেন সরবরাহ করবে না, দীর্ঘমেয়াদী প্রমাণীকরণকে অসম্ভব করে তোলে। অন্তর্ভুক্ত করার অনুরোধটি সংশোধন করে প্রম্পট = "সম্মতি", আমরা নিশ্চিত করি যে একটি নতুন রিফ্রেশ টোকেন সর্বদা উত্পন্ন হয়।

সমাধানটি যাচাই করার জন্য, আমরা লগইন অনুরোধের অনুকরণ করতে একটি ইউনিট পরীক্ষাও তৈরি করেছি এবং সঠিক প্রমাণীকরণের ইউআরএলটি ফিরে এসেছে কিনা তা যাচাই করে। এটি নিশ্চিত করে যে আমাদের ফিক্স বিভিন্ন পরিবেশ জুড়ে কাজ করে। আপনি যদি কখনও অনুরূপ সমস্যার মুখোমুখি হন - যেখানে প্রমাণীকরণ উত্পাদন বনাম বিকাশের ক্ষেত্রে আলাদাভাবে আচরণ করে - কীভাবে OAuth 2.0 ব্যবহারকারী সেশনগুলি পরিচালনা করে এবং টোকেন অধ্যবসায় গুরুত্বপূর্ণ। এই সমন্বয়গুলির সাথে, আপনি বিরামবিহীন প্রমাণীকরণ এবং আরও ভাল ব্যবহারকারীর অভিজ্ঞতা নিশ্চিত করতে পারেন। 🚀

from flask import Flask, redirect, session, request
from requests_oauthlib import OAuth2Session
app = Flask(__name__)
app.secret_key = "your_secret_key"
CLIENT_ID = "your_client_id"
CLIENT_SECRET = "your_client_secret"
AUTHORIZATION_BASE_URL = "https://accounts.google.com/o/oauth2/auth"
TOKEN_URL = "https://oauth2.googleapis.com/token"
REDIRECT_URI = "https://yourdomain.com/callback"
@app.route("/login")
def login():
    gcp = OAuth2Session(CLIENT_ID, redirect_uri=REDIRECT_URI, scope=["openid", "email", "profile"])
    authorization_url, state = gcp.authorization_url(AUTHORIZATION_BASE_URL, access_type="offline", prompt="consent")
    session["oauth_state"] = state
    return redirect(authorization_url)
@app.route("/callback")
def callback():
    gcp = OAuth2Session(CLIENT_ID, state=session["oauth_state"], redirect_uri=REDIRECT_URI)
    token = gcp.fetch_token(TOKEN_URL, client_secret=CLIENT_SECRET, authorization_response=request.url)
    session["oauth_token"] = token
    return "Login Successful"
if __name__ == "__main__":
    app.run(debug=True)

import unittest
from app import app
class OAuthTestCase(unittest.TestCase):
    def setUp(self):
        self.app = app.test_client()
    def test_login_redirect(self):
        response = self.app.get("/login")
        self.assertEqual(response.status_code, 302)
        self.assertIn("accounts.google.com", response.location)
if __name__ == "__main__":
    unittest.main()

মেঘের পরিবেশে সুরক্ষিত এবং অবিরাম OAuth 2.0 প্রমাণীকরণ নিশ্চিত করা

মেঘে OAuth 2.0 প্রমাণীকরণ মোতায়েন করার সময় একটি মূল চ্যালেঞ্জ বিকাশকারীরা মুখোমুখি হন তা নিশ্চিত করে যে প্রমাণীকরণ প্রক্রিয়াটি সেশনগুলিতে নির্বিঘ্নে থাকবে। যখন একটি রিফ্রেশ টোকেন মঞ্জুর না করা হয়, ব্যবহারকারীদের অবশ্যই ঘন ঘন পুনরায় প্রমাণীকরণ করতে হবে, যা ব্যবহারকারীর অভিজ্ঞতা ব্যাহত করতে পারে। এই সমস্যাটি প্রায়শই এর ভুল কনফিগারেশনের কারণে উত্থিত হয় Oauth 2.0 সম্মতি স্ক্রিন গুগল ক্লাউড কনসোলে, গুগলকে ধরে নেওয়ার জন্য গুগলকে নেতৃত্ব দেওয়ার জন্য অফলাইন অ্যাক্সেসের প্রয়োজন হয় না।

আরেকটি গুরুত্বপূর্ণ কারণটি নিশ্চিত করা হচ্ছে যে সমস্ত প্রয়োজনীয় এপিআই স্কোপগুলি সঠিকভাবে কনফিগার করা আছে। যদি ক্লাউড-হোস্টেড অ্যাপ্লিকেশনটি সঠিক অনুরোধ না করে Oauth 2.0 স্কোপস, গুগল রিফ্রেশ টোকেনগুলি বাদ দিয়ে অনুমোদিত অনুমতিগুলি সীমাবদ্ধ করতে পারে। বিকাশকারীদের যাচাই করা উচিত যে তাদের অ্যাপ্লিকেশনটি স্পষ্টভাবে অফলাইন অ্যাক্সেসের জন্য অনুরোধ করে এবং প্রাসঙ্গিক স্কোপগুলি অন্তর্ভুক্ত করে যেমন "ওপেনআইডি", "ইমেল" এবং "প্রোফাইল", প্রমাণীকরণের অনুরোধে। অতিরিক্তভাবে, ব্যবহার করে অন্তর্ভুক্ত_গ্রান্টড_স্কোপস = "সত্য" প্যারামিটার পূর্ববর্তী সেশনে অনুমোদিত অনুমতিগুলি বজায় রাখতে সহায়তা করে।

প্রমাণীকরণ সুরক্ষা এবং অধ্যবসায় আরও বাড়ানোর জন্য, বিকাশকারীদের শক্তিশালী প্রয়োগ করা উচিত টোকেন স্টোরেজ। সেশন ভেরিয়েবলগুলিতে টোকেন সংরক্ষণের পরিবর্তে, একটি সুরক্ষিত ডাটাবেস বা এনক্রিপ্ট করা স্টোরেজ প্রক্রিয়া ব্যবহার করে নিশ্চিত করে যে অ্যাক্সেস টোকেন এবং রিফ্রেশ টোকেনগুলি সার্ভার পুনরায় আরম্ভগুলিতে অ্যাক্সেসযোগ্য রয়েছে। এই সেরা অনুশীলনগুলি অনুসরণ করে, বিকাশকারীরা ক্লাউড-হোস্টেড অ্যাপ্লিকেশনগুলিতে একটি মসৃণ এবং নিরবচ্ছিন্ন প্রমাণীকরণ প্রবাহ নিশ্চিত করতে পারে। 🔐