GOODA KODA KODA KODA KODS.

Izpratne par atsvaidzināšanas marķiera neatbilstību OAuth 2.0

Iedomājieties, kā attīstīt nemanāmu OAuth 2.0 autentifikācijas plūsmu savai tīmekļa lietotnei. Vietējā mašīnā viss darbojas perfekti, bet, izvietojot Google Cloud Engine (GCE), trūkst būtiska skaņdarba - atsvaidzināšanas marķiera! 🤯 Šī problēma novērš automātisku marķieru atjaunošanu, izjaucot lietotāju sesijas.

Daudzi izstrādātāji saskaras ar šo mulsinošo problēmu, neskatoties uz ieviešanu Access_type = "bezsaistē" un cita labākā prakse. LocalHost vide konsekventi atdod atsvaidzināšanas marķieri, savukārt mākoņu izvietošana to nedara. Noslēpums padziļinās, jo abiem iestatījumiem ir viena un tā pati kodu bāze un autentifikācijas plūsma.

Pēc neskaitāmu stundu atkļūdošanas risinājums bieži slēpjas aizmirstā parametrā: ātri variants. Šī iestatījuma pielāgošana var nozīmēt atšķirību starp atsvaidzināšanas marķiera saņemšanu un iestrēgšanu bezgalīgā autentifikācijas cilpā. Bet kāpēc tas notiek? 🤔

Šajā rakstā mēs sadalīsim šīs problēmas galveno cēloni, izpētīsim Google OAuth 2.0 uzvedību un nodrošināsim konkrētu labojumu. Vai jūs skrienat Glaumas lietotne Vai arī cits ietvars, jūs ejat prom ar darba risinājumu un labāku izpratni par Google autentifikācijas quirks!

Izpratne par OAuth 2.0 atsvaidzināšanas marķiera izguvi kolbas lietojumprogrammās

OAuth 2.0 ir plaši izmantots autentifikācijas ietvars, kas ļauj lietojumprogrammām autentificēt lietotājus, izmantojot ārējos pakalpojumu sniedzējus, piemēram, Google. Savā piemērā mēs ieviesām a Kolba lietojumprogrammu, izmantojot pieprasījumi_oauthlib bibliotēka, lai apstrādātu autentifikācijas procesu. Tomēr radās galvenā problēma: atsvaidzes marķieris tika piešķirts tikai tad, kad darbojas uz vietas, bet ne mākoņa vidē. Šī problēma neļāva automātiskai marķieru atjaunošanai, liekot lietotājiem bieži atkārtoties.

Risinājuma kodols ir autentifikācijas pieprasījuma pielāgošana. Pēc noklusējuma Google piešķir tikai atsvaidzes marķieri, kad to skaidri pieprasa, izmantojot Access_type = "bezsaistē"Apvidū Tomēr dažos gadījumos pievienojot uzvedne = "piekrišana" Parametrs ir nepieciešams, lai piespiestu Google atkārtoti reklamēt lietotāju autorizācijai. Tas ir īpaši svarīgi, izvietojot pieteikumu Google Cloud Engine (GCE), kur iepriekš piešķirtās atļaujas var nebūt pārņemtas.

Mūsu skripts sākas ar OAuth sesijas inicializēšanu un lietotāju novirzīšanu uz Google pieteikšanās lapu. Kad lietotājs autentificējas, Google atgriež autorizācijas kodu, kuru lietojumprogramma apmainās ar piekļuves pilnvaru. Galvenā problēma bija tā, ka bez pareiziem parametriem Google nenodrošinātu atsvaidzes marķieri, padarot ilgtermiņa autentifikāciju neiespējamu. Modificējot pieprasījumu iekļaut uzvedne = "piekrišana", mēs nodrošinām, ka vienmēr tiek ģenerēts jauns atsvaidzināšanas marķieris.

Lai apstiprinātu risinājumu, mēs arī izveidojām vienības testu, lai modelētu pieteikšanās pieprasījumu un pārbaudītu, vai tiek atgriezts pareizais autentifikācijas URL. Tas nodrošina, ka mūsu labojums darbojas dažādās vidēs. Ja jūs kādreiz esat saskāries ar līdzīgu problēmu - ja autentifikācija ražošanā uzvedas atšķirīgi, salīdzinot ar attīstību - izprotot, kā OAuth 2.0 rīkojas ar lietotāju sesijām un marķiera noturību ir izšķiroša nozīme. Izmantojot šos pielāgojumus, jūs varat nodrošināt nemanāmu autentifikāciju un labāku lietotāja pieredzi. 🚀

from flask import Flask, redirect, session, request
from requests_oauthlib import OAuth2Session
app = Flask(__name__)
app.secret_key = "your_secret_key"
CLIENT_ID = "your_client_id"
CLIENT_SECRET = "your_client_secret"
AUTHORIZATION_BASE_URL = "https://accounts.google.com/o/oauth2/auth"
TOKEN_URL = "https://oauth2.googleapis.com/token"
REDIRECT_URI = "https://yourdomain.com/callback"
@app.route("/login")
def login():
    gcp = OAuth2Session(CLIENT_ID, redirect_uri=REDIRECT_URI, scope=["openid", "email", "profile"])
    authorization_url, state = gcp.authorization_url(AUTHORIZATION_BASE_URL, access_type="offline", prompt="consent")
    session["oauth_state"] = state
    return redirect(authorization_url)
@app.route("/callback")
def callback():
    gcp = OAuth2Session(CLIENT_ID, state=session["oauth_state"], redirect_uri=REDIRECT_URI)
    token = gcp.fetch_token(TOKEN_URL, client_secret=CLIENT_SECRET, authorization_response=request.url)
    session["oauth_token"] = token
    return "Login Successful"
if __name__ == "__main__":
    app.run(debug=True)

Viens

Drošas un pastāvīgas OAuth 2.0 autentifikācijas nodrošināšana mākoņu vidē

Viens no galvenajiem izaicinājumiem, ar kuriem izstrādātāji saskaras, izvietojot OAuth 2.0 autentifikāciju mākonī, ir nodrošināt, ka autentifikācijas process paliek nemanāms visās sesijās. Ja atsvaidzes marķieris netiek piešķirts, lietotājiem bieži ir jāatgriežas, kas var izjaukt lietotāja pieredzi. Šī problēma bieži rodas nepareizas konfigurācijas dēļ OAuth 2.0 piekrišanas ekrāns Google Cloud konsolē, liekot Google pieņemt, ka lietojumprogrammai nav nepieciešama piekļuve bezsaistē.

Vēl viens būtisks faktors ir nodrošināt, ka visas nepieciešamās API jomas ir pareizi konfigurētas. Ja mākoņa mitināta lietojumprogramma nepieprasa tiesības OAuth 2.0 jomas, Google var ierobežot piešķirtās atļaujas, izņemot atsvaidzināšanas žetonus. Izstrādātājiem jāpārbauda, ​​vai viņu lietojumprogramma skaidri pieprasa piekļuvi bezsaistē un ietver atbilstošas ​​darbības jomas, piemēram "OpenID", "e -pasts" un "profils", autentifikācijas pieprasījumā. Turklāt, izmantojot iekļaut_granted_scopes = "true" Parametrs palīdz saglabāt atļaujas, kas piešķirtas iepriekšējās sesijās.

Lai vēl vairāk uzlabotu autentifikācijas drošību un noturību, izstrādātājiem jāīsteno robusts žetonu uzglabāšanaApvidū Tā vietā, lai glabātu žetonus sesijas mainīgajos, izmantojot drošu datu bāzi vai šifrētu glabāšanas mehānismu, tiek nodrošināts, ka piekļuves žetoniem un atsvaidzināšanas žetoniem joprojām ir pieejams servera restartēšana. Izpildot šo labāko praksi, izstrādātāji var nodrošināt vienmērīgu un nepārtrauktu autentifikācijas plūsmu mākoņu mitinātās lietojumprogrammās. 🔐