„Google OAuth 2.0“ kodo, kurio trūksta GCE, kodas

Suprasti atnaujinimo žetono neatitikimą „OAuth 2.0“

Įsivaizduokite, kad sukursite vientisą „OAuth 2.0“ autentifikavimo srautą jūsų žiniatinklio programai. Viskas puikiai veikia jūsų vietiniame kompiuteryje, tačiau, kai diegta „Google Cloud Engine“ (GCE), esminis kūrinys - atnaujinimo prieigos raktas - trūksta! 🤯 Ši problema apsaugo nuo automatinio žetono atnaujinimo, sutrikdytų vartotojo sesijas.

Nepaisant įgyvendinimo, daugelis kūrėjų susiduria prieiga_type = "neprisijungus" ir kita geriausia praktika. „Localhost“ aplinka nuosekliai grąžina atnaujinamąjį žetoną, o debesų diegimas to nepadaro. Paslaptis gilėja, nes abi sąrankos turi tą pačią kodų bazę ir autentifikavimo srautą.

Po daugybės valandų derinimo, sprendimas dažnai yra nepastebėtame parametru: raginimas variantas. Pataisyti šį nustatymą gali reikšti skirtumą tarp atnaujinimo prieigos rakto gavimo ir įstrigimo begalinėje autentifikavimo kilpoje. Bet kodėl taip nutinka? 🤔

Šiame straipsnyje mes išskaidysime pagrindinę šios problemos priežastį, ištirsime „Google OAuth 2.0“ elgesį ir pateiksime konkretų taisymą. Nesvarbu, ar jūs naudojate a Kolbos programa Arba dar viena sistema, jūs pasitrauksite su darbiniu sprendimu ir geriau supraskite „Google“ autentifikavimo keiksmažodžius!

Suprasti „OAuth 2.0“ atnaujinimo žetonų paiešką kolbos programose

„OAuth 2.0“ yra plačiai naudojama autentifikavimo sistema, leidžianti programoms autentifikuoti vartotojus per išorinius tiekėjus, tokius kaip „Google“. Mūsų pavyzdyje mes įgyvendinome a Kolba taikymas naudojant „Requests_oAuthlib“ Biblioteka tvarkyti autentifikavimo procesą. Tačiau iškilo pagrindinė problema: atnaujinimo prieigos raktas buvo suteiktas tik paleidžiant vietoje, bet ne debesies aplinkoje. Ši problema užkirto kelią automatiniam žetonų atnaujinimui, todėl vartotojai reikalavo dažnai pakartotinai įvesti.

Sprendimo esmė yra autentifikavimo užklausos koregavimas. Pagal numatytuosius nustatymus „Google“ suteikia tik atnaujinimo prieigos raktą, kai aiškiai prašoma naudojant prieiga_type = "neprisijungus". Tačiau kai kuriais atvejais pridedant raginimas = „Sutikimas“ Parametras yra būtinas norint priversti „Google“ iš naujo priimti vartotoją, kad būtų galima įgalioti. Tai ypač svarbu diegiant paraišką „Google Cloud Engine“ (GCE), kur anksčiau buvo suteikiami leidimai gali nepervaldyti.

Mūsų scenarijus prasideda inicijuodami OAuth sesiją ir nukreipdami vartotojus į „Google“ prisijungimo puslapį. Kai vartotojas autentifikuos, „Google“ grąžina autorizacijos kodą, kurį programa keičiasi į prieigos raktą. Pagrindinė problema buvo ta, kad be tinkamų parametrų „Google“ nepateiks atnaujinimo prieigos rakto, todėl ilgalaikė autentifikacija yra neįmanoma. Modifikuodami užklausą įtraukti raginimas = „Sutikimas“, Mes užtikriname, kad visada būtų sukurtas naujas atnaujinimo žetonas.

Norėdami patvirtinti sprendimą, mes taip pat sukūrėme vieneto testą, kad imituotume prisijungimo užklausą ir patikrintume, ar grąžinamas teisingas autentifikavimo URL. Tai užtikrina, kad mūsų pataisymas veiktų įvairiose aplinkose. Jei kada nors susidūrėte su panašiu klausimu - kur autentifikavimas elgiasi skirtingai gamyboje ir plėtroje - supranta, kaip „OAuth 2.0“ tvarko vartotojų sesijas ir žetonų atkaklumą yra labai svarbus. Atlikdami šiuos pakeitimus, galite užtikrinti sklandų autentifikavimą ir geresnę vartotojo patirtį. 🚀

from flask import Flask, redirect, session, request
from requests_oauthlib import OAuth2Session
app = Flask(__name__)
app.secret_key = "your_secret_key"
CLIENT_ID = "your_client_id"
CLIENT_SECRET = "your_client_secret"
AUTHORIZATION_BASE_URL = "https://accounts.google.com/o/oauth2/auth"
TOKEN_URL = "https://oauth2.googleapis.com/token"
REDIRECT_URI = "https://yourdomain.com/callback"
@app.route("/login")
def login():
    gcp = OAuth2Session(CLIENT_ID, redirect_uri=REDIRECT_URI, scope=["openid", "email", "profile"])
    authorization_url, state = gcp.authorization_url(AUTHORIZATION_BASE_URL, access_type="offline", prompt="consent")
    session["oauth_state"] = state
    return redirect(authorization_url)
@app.route("/callback")
def callback():
    gcp = OAuth2Session(CLIENT_ID, state=session["oauth_state"], redirect_uri=REDIRECT_URI)
    token = gcp.fetch_token(TOKEN_URL, client_secret=CLIENT_SECRET, authorization_response=request.url)
    session["oauth_token"] = token
    return "Login Successful"
if __name__ == "__main__":
    app.run(debug=True)

import unittest
from app import app
class OAuthTestCase(unittest.TestCase):
    def setUp(self):
        self.app = app.test_client()
    def test_login_redirect(self):
        response = self.app.get("/login")
        self.assertEqual(response.status_code, 302)
        self.assertIn("accounts.google.com", response.location)
if __name__ == "__main__":
    unittest.main()

Užtikrinant saugų ir nuolatinį „OAuth 2.0“ autentifikavimą debesies aplinkoje

Vienas pagrindinių iššūkių, su kuriais kūrėjai susiduria diegdami „OAuth 2.0“ autentifikavimą debesyje, yra užtikrinti, kad autentifikavimo procesas išliktų sklandus visose sesijose. Kai neatskleidžiamas atnaujinimo prieigos raktas, vartotojai turi dažnai iš naujo įvesti, o tai gali sutrikdyti vartotojo patirtį. Ši problema dažnai kyla dėl neteisingos konfigūracijos „OAuth 2.0“ sutikimo ekranas „Google Cloud“ konsolėje, leidžianti „Google“ manyti, kad programai nereikia prieigos neprisijungus.

Kitas esminis veiksnys yra užtikrinti, kad visos būtinos API apimtys būtų tinkamai sukonfigūruojamos. Jei debesies prieglobsčio programa neprašo teisės „OAuth 2.0“ apimtys, „Google“ gali apriboti suteiktus leidimus, išskyrus atnaujintus žetonus. Kūrėjai turėtų patikrinti, ar jų programa aiškiai prašo prieigos neprisijungus ir apima svarbias apimtis, pavyzdžiui, „OpenID“, „El. Paštas“ ir „Profilis“, autentifikavimo užklausoje. Be to, naudojant įtraukti_granted_scopes = "tiesa" Parametras padeda išlaikyti leidimus, suteiktus ankstesnėse sesijose.

Norėdami dar labiau pagerinti autentifikavimo saugumą ir atkaklumą, kūrėjai turėtų įdiegti patikimą Ženklo saugykla. Užuot saugoję žetonus seanso kintamuose, naudojant saugią duomenų bazę ar užšifruotą saugojimo mechanizmą, užtikrinama, kad prieigos prie žetonų ir atnaujinimo žetonai išliks prieinami per serverių paleidimą. Vykdydami šią geriausią praktiką, kūrėjai gali užtikrinti sklandų ir nepertraukiamą autentifikavimo srautą debesies prieglobsčio programose. 🔐