Praskanie kódu Google OAuth 2.0 Obnoviť tokeny, ktoré chýbajú na GCE

Pochopenie rozporu tokenov obnovy v OAuth 2.0

Predstavte si, že pre vašu webovú aplikáciu rozvíjate plynulý tok overovania OAuth 2.0. Všetko funguje perfektne na vašom miestnom stroji, ale pri nasadení na Google Cloud Engine (GCE), základný kus - token obnovenia - chýba! 🤯 Tento problém zabraňuje automatickému obnoveniu tokenov a narúša relácie používateľov.

Mnoho vývojárov čelí tomuto mätúcemu problému, napriek implementácii Access_type = "offline" a ďalšie osvedčené postupy. Prostredie Localhost neustále vracia token obnovenia, zatiaľ čo nasadenie cloudu tak neurobí. Tajomstvo sa prehlbuje, pretože obe nastavenia zdieľajú rovnakú kódovú základňu a autentifikačný tok.

Po nespočetných hodinách ladenia riešenie často spočíva v prehliadanom parametri: pohotovosť možnosť. Vylepšenie tohto nastavenia môže znamenať rozdiel medzi prijímaním tokenu obnovenia a uviaznutím v nekonečnej autentifikačnej slučke. Ale prečo sa to stáva? 🤔

V tomto článku rozoberáme hlavnú príčinu tohto problému, preskúmame správanie OAuth 2.0 spoločnosti Google a poskytneme konkrétnu opravu. Či už prevádzkujete a Banka Alebo iný rámec, odídete s pracovným riešením a lepším porozumením autentifikačných vtipov spoločnosti Google!

Pochopenie OAuth 2.0 Obnovenie tokenového získavania v aplikáciách Flask

OAuth 2.0 je široko používaný autentifikačný rámec, ktorý umožňuje aplikáciám overiť používateľov prostredníctvom externých poskytovateľov, ako je Google. V našom príklade sme implementovali a Banka aplikácia pomocou request_oauthlib Knižnica na spracovanie procesu autentifikácie. Vznikol však kľúčový problém: token obnovenia bol udelený iba pri lokálnom spustení, ale nie v cloudovom prostredí. Tento problém zabránil automatickému obnoveniu tokenov, pričom sa vyžadovalo, aby používatelia často opakovali.

Jadro riešenia spočíva v úprave žiadosti o autentifikáciu. V predvolenom nastavení spoločnosť Google udeľuje token obnovenia iba pri výslovne požadovanom použití Access_type = "offline". V niektorých prípadoch však pridanie PRABS = "CONSENT" Parameter je potrebný na to, aby spoločnosť Google prinútila opätovné vylepšiť používateľa na autorizáciu. Toto je obzvlášť dôležité pri nasadení aplikácie Google Cloud Engine (GCE), kde predtým udelené povolenia nemusia preniesť.

Náš skript začína inicializáciou relácie OAuth a presmerovaním používateľov na prihlasovaciu stránku spoločnosti Google. Akonáhle používateľ overuje, spoločnosť Google vráti autorizačný kód, ktorý sa aplikácia vymení za prístupový token. Kľúčovým problémom bolo, že bez správnych parametrov by spoločnosť Google neposkytla obnovovací token, čo by znemožnilo dlhodobé overovanie. Úpravou žiadosti o zahrnutie PRABS = "CONSENT", zabezpečujeme, aby bol vždy generovaný nový token obnovenia.

Na overenie riešenia sme tiež vytvorili test jednotky na simuláciu žiadosti o prihlásenie a overenie, či sa vráti správna adresa URL autentifikácie. To zaisťuje, že naša oprava funguje v rôznych prostrediach. Ak ste niekedy čelili podobnému problému - kde sa autentifikácia správa inak vo výrobe verzus vývoj - pochopenie toho, ako OAuth 2.0 sa zaoberá reláciami používateľov a pretrvávaním tokenov, je rozhodujúce. S týmito úpravami môžete zabezpečiť plynulé overovanie a lepšiu skúsenosť používateľa. 🚀

from flask import Flask, redirect, session, request
from requests_oauthlib import OAuth2Session
app = Flask(__name__)
app.secret_key = "your_secret_key"
CLIENT_ID = "your_client_id"
CLIENT_SECRET = "your_client_secret"
AUTHORIZATION_BASE_URL = "https://accounts.google.com/o/oauth2/auth"
TOKEN_URL = "https://oauth2.googleapis.com/token"
REDIRECT_URI = "https://yourdomain.com/callback"
@app.route("/login")
def login():
    gcp = OAuth2Session(CLIENT_ID, redirect_uri=REDIRECT_URI, scope=["openid", "email", "profile"])
    authorization_url, state = gcp.authorization_url(AUTHORIZATION_BASE_URL, access_type="offline", prompt="consent")
    session["oauth_state"] = state
    return redirect(authorization_url)
@app.route("/callback")
def callback():
    gcp = OAuth2Session(CLIENT_ID, state=session["oauth_state"], redirect_uri=REDIRECT_URI)
    token = gcp.fetch_token(TOKEN_URL, client_secret=CLIENT_SECRET, authorization_response=request.url)
    session["oauth_token"] = token
    return "Login Successful"
if __name__ == "__main__":
    app.run(debug=True)

import unittest
from app import app
class OAuthTestCase(unittest.TestCase):
    def setUp(self):
        self.app = app.test_client()
    def test_login_redirect(self):
        response = self.app.get("/login")
        self.assertEqual(response.status_code, 302)
        self.assertIn("accounts.google.com", response.location)
if __name__ == "__main__":
    unittest.main()

Zabezpečenie bezpečného a pretrvávajúceho overovania OAuth 2.0 v cloudových prostrediach

Jednou z kľúčových vývojárov, ktorým vývojári čelia pri nasadení autentifikácie OAUTH 2.0 v cloude, je zabezpečenie toho, aby proces autentifikácie zostal bezproblémový počas relácií. Ak nie je udelený token obnovenia, používatelia sa musia často znovu predstierať, čo môže narušiť používateľskú skúsenosť. Tento problém sa často vyskytuje v dôsledku nesprávnej konfigurácie Obrazovka súhlasu OAuth 2.0 V konzole Google Cloud Cloud, vedenie spoločnosti Google k predpokladaniu, že aplikácia nevyžaduje offline prístup.

Ďalším rozhodujúcim faktorom je zabezpečenie toho, aby boli všetky potrebné rozsahy API správne nakonfigurované. Ak aplikácia hostiteľovaná v cloude nevyžaduje právo OAuth 2,0 rozsahy, Google môže obmedziť udelené povolenia, s výnimkou tokenov obnovenia. Vývojári by mali overiť, či ich žiadosť výslovne požaduje prístup offline a zahŕňa príslušné rozsahy, napríklad ako napríklad „OpenID“, „E -mail“ a „profil“, v žiadosti o autentifikáciu. Navyše používanie include_granted_scopes = "True" Parameter pomáha udržiavať povolenia udelené v predchádzajúcich reláciách.

Na ďalšie zlepšenie bezpečnosti autentifikácie a perzistencie by vývojári mali implementovať robustné ukladanie tokenov. Namiesto ukladania tokenov do premenných relácie, použitie zabezpečenej databázy alebo mechanizmu šifrovaného úložného priestoru zaisťuje, že prístupové tokeny a obnovovacie tokeny zostávajú prístupné naprieč reštartovaním servera. Dodržiavaním týchto osvedčených postupov môžu vývojári zabezpečiť hladký a nepretržitý tok autentifikácie v aplikáciách hostiteľom cloud. 🔐