Google OAuth 2.0 Värskenduse koodi purustamine GCE -s puudub

OAuth 2.0 värskendusmärgi lahknevuse mõistmine

Kujutage ette, et arendaksite oma veebirakenduse jaoks sujuva OAuth 2.0 autentimisvoo. Kõik töötab teie kohalikus masinas suurepäraselt, kuid Google Cloud Engine'is (GCE) juurutamisel on oluline tükk - värskendusmärgi - puudu! 🤯 See probleem hoiab ära automaatse sümboolse uuendamise, häirides kasutajasessioone.

Paljud arendajad seisavad selle hämmelduva probleemiga silmitsi, hoolimata rakendamisest Access_type = "Võrguühenduseta" ja muud parimad tavad. LocalHosti keskkond tagastab järjekindlalt värskendusmärgi, samal ajal kui pilve juurutamine seda ei tee. Müsteerium süveneb, kui mõlemad seadistused jagavad sama koodibaasi ja autentimisvoogu.

Pärast lugematuid silumist on lahendus sageli tähelepanuta jäetud parameetris: kiire variant. Selle sätte näpistamine võib tähendada erinevust värskendusmärgi saamise ja lõputu autentimissilmusesse kinni jäämise vahel. Aga miks see juhtub? 🤔

Selles artiklis lahkame selle teema algpõhjust, uurime Google'i OAuth 2.0 käitumist ja pakume konkreetset parandust. Kas jooksete a Kolbirakendus Või mõni muu raamistik, kõnnite töölahenduse ja Google'i autentimissõnade parema mõistmisega minema!

OAUTH 2.0 Värskenduse märgi otsimise mõistmine kolbirakendustes

OAuth 2.0 on laialdaselt kasutatav autentimisraamistik, mis võimaldab rakendustel autentida kasutajaid väliste pakkujate kaudu nagu Google. Meie näites rakendasime a Kolb rakendus kasutades päringud_oauthlib Raamatukogu autentimisprotsessi käsitlemiseks. Siiski tekkis võtmeküsimus: värskendusmärki anti ainult kohapeal töötades, kuid mitte pilvekeskkonnas. See probleem takistas automaatset sümboolset uuendamist, nõudes kasutajatelt sageli uuesti autentimist.

Lahuse tuum seisneb autentimistaotluse kohandamisel. Vaikimisi annab Google ainult värskendusmärgi, kui seda selgesõnaliselt taotleb Access_type = "Võrguühenduseta". Mõnel juhul lisades esp = "nõusolek" Parameeter on vajalik, et sundida Google'i kasutajat uuesti lubama. See on eriti oluline rakenduse juurutamisel Google Cloud Engine (GCE), kui varem antud õigused ei pruugi üle kanda.

Meie skript algab OAuthi seansi lähtestamisega ja kasutajate suunamine Google'i sisselogimislehele. Kui kasutaja autentib, tagastab Google autoriseerimiskoodi, mida rakendus vahetab juurdepääsuluba. Võtmeküsimus oli see, et ilma õigete parameetriteta ei anna Google värskendusmärki, muutes pikaajalise autentimise võimatuks. Muutes taotlust kaasata esp = "nõusolek", tagame, et alati genereeritakse uus värskendusmärk.

Lahenduse valideerimiseks lõime ka ühikutesti, et simuleerida sisselogimistaotlust ja kontrollida, kas õige autentimis URL tagastatakse. See tagab, et meie parandus töötab erinevates keskkondades. Kui olete kunagi silmitsi seisnud sarnase probleemiga - kus autentimine käitub tootmise ja arendamise osas erinevalt -, on see, kuidas OAuth 2.0 tegeleb kasutajaseanssidega ja sümboolse püsivusega. Nende muudatuste abil saate tagada sujuva autentimise ja parema kasutajakogemuse. 🚀

from flask import Flask, redirect, session, request
from requests_oauthlib import OAuth2Session
app = Flask(__name__)
app.secret_key = "your_secret_key"
CLIENT_ID = "your_client_id"
CLIENT_SECRET = "your_client_secret"
AUTHORIZATION_BASE_URL = "https://accounts.google.com/o/oauth2/auth"
TOKEN_URL = "https://oauth2.googleapis.com/token"
REDIRECT_URI = "https://yourdomain.com/callback"
@app.route("/login")
def login():
    gcp = OAuth2Session(CLIENT_ID, redirect_uri=REDIRECT_URI, scope=["openid", "email", "profile"])
    authorization_url, state = gcp.authorization_url(AUTHORIZATION_BASE_URL, access_type="offline", prompt="consent")
    session["oauth_state"] = state
    return redirect(authorization_url)
@app.route("/callback")
def callback():
    gcp = OAuth2Session(CLIENT_ID, state=session["oauth_state"], redirect_uri=REDIRECT_URI)
    token = gcp.fetch_token(TOKEN_URL, client_secret=CLIENT_SECRET, authorization_response=request.url)
    session["oauth_token"] = token
    return "Login Successful"
if __name__ == "__main__":
    app.run(debug=True)

import unittest
from app import app
class OAuthTestCase(unittest.TestCase):
    def setUp(self):
        self.app = app.test_client()
    def test_login_redirect(self):
        response = self.app.get("/login")
        self.assertEqual(response.status_code, 302)
        self.assertIn("accounts.google.com", response.location)
if __name__ == "__main__":
    unittest.main()

Turvalise ja püsiva OAuth 2.0 autentimise tagamine pilvekeskkonnas

OAuth 2.0 autentimise pilve juurutamisel on üks peamisi väljakutseid arendajad, tagades, et autentimisprotsess on seansside lõikes sujuv. Kui värskendusmärki ei anta, peavad kasutajad sageli uuesti autentima, mis võib kasutajakogemust häirida. See probleem tekib sageli vale konfiguratsiooni tõttu OAuth 2.0 nõusoleku ekraan Google'i pilvekonsoolis ei vaja Google'i eeldamine, et rakendus ei vaja võrguühenduseta juurdepääsu.

Teine oluline tegur on tagada, et kõik vajalikud API -ulatused on korralikult konfigureeritud. Kui pilve hostitud rakendus ei taotle õigust OAuth 2.0 ulatused, Võib Google piirata antud õigusi, välja arvatud värskendusmärgid. Arendajad peaksid kontrollima, kas nende rakendus taotleb otseselt võrguühenduseta juurdepääsu ja sisaldab asjakohaseid ulatusi, näiteks "OpenID", "E -post" ja "Profiil", autentimistaotluses. Lisaks kasutades Inkordige_granted_scopes = "True" Parameeter aitab säilitada eelmistel seanssidel antud õigusi.

Autentimise turvalisuse ja püsivuse veelgi parendamiseks peaksid arendajad rakendama kindlat sümboolne salvestus. Selle asemel, et salvestada märke seansimuutujatesse, tagab turvalise andmebaasi või krüptitud salvestusmehhanismi kasutamine, et juurdepääsu märgid ja värskendusmärgid jäävad serveri taaskäivitamiseks juurdepääsetavaks. Neid parimaid tavasid jälgides saavad arendajad tagada pilve hostitud rakendustes sujuva ja katkematu autentimisvoo. 🔐