Razbijanje kode Google OAuth 2.0 Osveži žetone na GCE

Razumevanje neskladja za osvežitev v OAuth 2.0

Predstavljajte si, da razvijete brezhiben tok overjanja OAuth 2.0 za vašo spletno aplikacijo. Vse deluje odlično na vašem lokalnem stroju, toda ko je nameščen v Google Cloud Engine (GCE), manjka bistveni kos - osvežilni žeton - manjka! 🤯 To vprašanje preprečuje samodejno obnovo žetona, ki moti seje uporabnikov.

Številni razvijalci se soočajo s tem zapletenim problemom, kljub izvajanju Access_type = "brez povezave" in druge najboljše prakse. Okolje Localhost dosledno vrača žeton za osvežitev, medtem ko uvajanje v oblaku tega ne stori. Skrivnost se poglablja, saj imata obe nastavitvi isto kodno bazo in pretok pristnosti.

Po neštetih urah odpravljanja napak je rešitev pogosto v spregledanem parametru: takoj možnost. Nastavitev te nastavitve lahko pomeni razliko med sprejemanjem žetona osveževanja in zataknjenim v neskončni zanki za preverjanje pristnosti. Toda zakaj se to zgodi? 🤔

V tem članku bomo secirali koreninski vzrok te težave, raziskali Googlovo vedenje OAuth 2.0 in zagotovili konkreten popravek. Ali tečeš a Aplikacija Flask Ali še en okvir, se boste oddaljili z delovno rešitev in boljše razumevanje Googlovih pristnosti!

Razumevanje OAuth 2.0 Osveži žeton v aplikacijah za bučke

OAuth 2.0 je široko uporabljen okvir za preverjanje pristnosti, ki aplikacijam omogoča overjanje uporabnikov prek zunanjih ponudnikov, kot je Google. V našem primeru smo izvedli a Bučka aplikacija z uporabo zahteve_oauthlib Knjižnica za obdelavo postopka overjanja. Vendar se je pojavilo ključno vprašanje: žeton za osvežitev je bil dodeljen le, če tečemo lokalno, vendar ne v oblačnem okolju. Ta težava je preprečila samodejno obnovo žetona, kar je zahtevalo, da se uporabniki pogosto ponovno uveljavijo.

Jedro rešitve je pri prilagajanju zahteve za preverjanje pristnosti. Google privzeto dodeli žeton za osvežitev le, če ga izrecno zahtevajo Access_type = "brez povezave". Vendar v nekaterih primerih dodajanje poziv = "Soglasje" Parameter je potreben, da Google prisili, da uporabnika ponovno pospešuje za avtorizacijo. To je še posebej pomembno pri namestitvi aplikacije Google Cloud Engine (GCE), kjer se predhodno dodeljena dovoljenja ne smejo prenesti.

Naš skript se začne z inicializacijo seje OAuth in preusmeritvijo uporabnikov na Googlovo prijavno stran. Ko uporabnik overi, Google vrne kodo za avtorizacijo, ki jo aplikacija izmenjuje za dostop do dostopa. Ključno vprašanje je bilo, da Google brez pravilnih parametrov ne bi zagotovil osveževanja žetona, zato dolgoročno overjanje nemogoče. S spreminjanjem zahteve za vključitev poziv = "Soglasje", zagotavljamo, da se vedno ustvarja nov žeton osveževanja.

Za potrditev rešitve smo ustvarili tudi test enote za simulacijo zahteve za prijavo in preverili, ali je vrnjen pravilen URL za preverjanje pristnosti. To zagotavlja, da naš popravek deluje v različnih okoljih. Če ste se kdaj soočili s podobno težavo - kjer se pristnosti v proizvodnji obnaša drugače v primerjavi z razvojem - razumevanje, kako OAuth 2.0 obravnava uporabniške seje in vztrajnost žetona je ključnega pomena. S temi prilagoditvami lahko zagotovite brezhibno preverjanje pristnosti in boljšo uporabniško izkušnjo. 🚀

from flask import Flask, redirect, session, request
from requests_oauthlib import OAuth2Session
app = Flask(__name__)
app.secret_key = "your_secret_key"
CLIENT_ID = "your_client_id"
CLIENT_SECRET = "your_client_secret"
AUTHORIZATION_BASE_URL = "https://accounts.google.com/o/oauth2/auth"
TOKEN_URL = "https://oauth2.googleapis.com/token"
REDIRECT_URI = "https://yourdomain.com/callback"
@app.route("/login")
def login():
    gcp = OAuth2Session(CLIENT_ID, redirect_uri=REDIRECT_URI, scope=["openid", "email", "profile"])
    authorization_url, state = gcp.authorization_url(AUTHORIZATION_BASE_URL, access_type="offline", prompt="consent")
    session["oauth_state"] = state
    return redirect(authorization_url)
@app.route("/callback")
def callback():
    gcp = OAuth2Session(CLIENT_ID, state=session["oauth_state"], redirect_uri=REDIRECT_URI)
    token = gcp.fetch_token(TOKEN_URL, client_secret=CLIENT_SECRET, authorization_response=request.url)
    session["oauth_token"] = token
    return "Login Successful"
if __name__ == "__main__":
    app.run(debug=True)

import unittest
from app import app
class OAuthTestCase(unittest.TestCase):
    def setUp(self):
        self.app = app.test_client()
    def test_login_redirect(self):
        response = self.app.get("/login")
        self.assertEqual(response.status_code, 302)
        self.assertIn("accounts.google.com", response.location)
if __name__ == "__main__":
    unittest.main()

Zagotavljanje varne in obstojne pristnosti OAuth 2.0 v oblačnih okoljih

Eden od ključnih izzivov razvijalci se soočajo pri uporabi overjanja OAuth 2.0 v oblaku, ki zagotavlja, da postopek overjanja ostane brezhiben med sejami. Kadar žeton osveževanja ni dodeljen, morajo uporabniki pogosto ponovno avtorstvo, kar lahko moti uporabniško izkušnjo. Ta težava pogosto nastane zaradi napačne konfiguracije OAUTH 2.0 STOL STRANJA V Googlovi konzoli v oblaku vodi Google, da domneva, da aplikacija ne potrebuje dostopa do brez povezave.

Drug ključni dejavnik je zagotavljanje, da so vsi potrebni merilniki API pravilno konfigurirani. Če aplikacija, ki jo gosti v oblaku, ne zahteva pravice OAUTH 2.0 Področje, Google lahko omeji odobrena dovoljenja, razen žetonov osvežitve. Razvijalci bi morali preveriti, ali njihova aplikacija izrecno zahteva dostop brez povezave in vključuje ustrezne obsege, na primer "OpenID", "E -pošta" in "Profil", v zahtevi za preverjanje pristnosti. Poleg tega z uporabo Include_granted_scopes = "true" Parameter pomaga ohranjati dovoljenja, dodeljena na prejšnjih sejah.

Za nadaljnje izboljšanje varnosti in vztrajnosti pristnosti bi morali razvijalci izvajati robustno shranjevanje žetona. Namesto da bi žetone shranjevali v spremenljivkah seje, z uporabo varne baze podatkov ali šifriranega mehanizma za shranjevanje zagotavlja, da dostop do žetonov in osveževanja ostanejo dostopni med ponovnimi zagon strežnika. Z upoštevanjem teh najboljših praks lahko razvijalci zagotovijo nemoten in neprekinjen pretok overjanja v aplikacijah v oblaku. 🔐