Розтріскування коду Google Oauth 2.0 оновити токени, відсутні на GCE

Розуміння невідповідності оновлення токенів в OAuth 2.0

Уявіть, що розробляєте безшовний потік аутентифікації OAuth 2.0 для вашого веб -програми. Все ідеально працює на вашій місцевій машині, але при розгортанні на Google Cloud Engine (GCE), важливий твір - маркер оновлення - відсутній! 🤯 Ця проблема запобігає автоматичному оновленню маркерів, порушуючи сеанси користувачів.

Багато розробників стикаються з цією неприємною проблемою, незважаючи на реалізацію Access_type = "офлайн" та інші найкращі практики. Навколишнє середовище Localhost послідовно повертає маркер оновлення, тоді як розгортання хмари не вдається зробити цього. Таємниця поглиблюється, оскільки обидві налаштування мають однакову базу коду та автентифікацію.

Після незліченних годин налагодження рішення часто лежить у непомітному параметрі: підказувати варіант. Налаштування цього налаштування може означати різницю між отриманням маркера оновлення та застряганням у нескінченній петлі аутентифікації. Але чому це відбувається? 🤔

У цій статті ми розберемо першопричину цього питання, вивчимо поведінку OAuth 2.0 Google та надасть конкретне виправлення. Чи ти працюєш Додаток колби Або ще одна рамка, ви підете з робочим рішенням та краще розуміння вигадки аутентифікації Google!

Розуміння OAuth 2.0 Оновити пошук токенів у програмах колби

OAuth 2.0 - це широко використовувана рамка аутентифікації, яка дозволяє програмам аутентифікувати користувачів у зовнішніх постачальників, таких як Google. У нашому прикладі ми реалізували Колба Застосування за допомогою revest_oauthlib бібліотека для обробки процесу аутентифікації. Однак виникло ключове питання: маркер оновлення був наданий лише тоді, коли працює локально, але не в хмарному середовищі. Ця проблема заважала автоматичному оновленню жетонів, вимагаючи від користувачів часто повторно автентувати.

Ядро розчину полягає в коригуванні запиту на автентифікацію. За замовчуванням Google лише надає маркер оновлення, коли явно вимагає використання Access_type = "офлайн". Однак у деяких випадках додавання strap = "згода" Параметр необхідний для того, щоб змусити Google повторно пропагувати користувача для авторизації. Це особливо важливо при розгортанні програми на Google Cloud Engine (GCE), де раніше надані дозволи не переносяться.

Наш сценарій починається з ініціалізації сеансу OAuth та перенаправлення користувачів на сторінку входу Google. Після того, як користувач автентифікується, Google повертає код авторизації, який програма обмінюється на маркер доступу. Ключова проблема полягала в тому, що без правильних параметрів Google не забезпечить маркер оновлення, що робить неможливу довгострокову аутентифікацію. Змінюючи запит на включення strap = "згода", ми гарантуємо, що завжди генерується новий маркер оновлення.

Для підтвердження рішення ми також створили тест одиниці для імітації запиту входу та перевіри, що правильна URL -адреса аутентифікації повертається. Це гарантує, що наше виправлення працює в різних середовищах. Якщо ви коли -небудь стикалися з подібною проблемою - де аутентифікація поводиться по -різному у виробництві та розвиток - розуміючи, як OAuth 2.0 займається сеансами користувачів та стійкістю токенів. За допомогою цих коригувань ви можете забезпечити безперебійну аутентифікацію та кращий досвід користувачів. 🚀

from flask import Flask, redirect, session, request
from requests_oauthlib import OAuth2Session
app = Flask(__name__)
app.secret_key = "your_secret_key"
CLIENT_ID = "your_client_id"
CLIENT_SECRET = "your_client_secret"
AUTHORIZATION_BASE_URL = "https://accounts.google.com/o/oauth2/auth"
TOKEN_URL = "https://oauth2.googleapis.com/token"
REDIRECT_URI = "https://yourdomain.com/callback"
@app.route("/login")
def login():
    gcp = OAuth2Session(CLIENT_ID, redirect_uri=REDIRECT_URI, scope=["openid", "email", "profile"])
    authorization_url, state = gcp.authorization_url(AUTHORIZATION_BASE_URL, access_type="offline", prompt="consent")
    session["oauth_state"] = state
    return redirect(authorization_url)
@app.route("/callback")
def callback():
    gcp = OAuth2Session(CLIENT_ID, state=session["oauth_state"], redirect_uri=REDIRECT_URI)
    token = gcp.fetch_token(TOKEN_URL, client_secret=CLIENT_SECRET, authorization_response=request.url)
    session["oauth_token"] = token
    return "Login Successful"
if __name__ == "__main__":
    app.run(debug=True)

import unittest
from app import app
class OAuthTestCase(unittest.TestCase):
    def setUp(self):
        self.app = app.test_client()
    def test_login_redirect(self):
        response = self.app.get("/login")
        self.assertEqual(response.status_code, 302)
        self.assertIn("accounts.google.com", response.location)
if __name__ == "__main__":
    unittest.main()

Забезпечення безпечної та стійкої автентифікації OAuth 2.0 у хмарних середовищах

Однією з ключових розробників, з якими стикаються розробники, коли розгортання автентифікації OAuth 2.0 у хмарі - це забезпечення того, щоб процес аутентифікації залишався безпроблемним протягом сеансів. Коли маркер оновлення не надається, користувачі повинні часто повторно автентувати, що може порушити досвід користувачів. Ця проблема часто виникає через неправильну конфігурацію Екран згоди OAuth 2.0 На консолі Google Cloud, що призвело до того, що Google припускає, що програма не потребує офлайн -доступу.

Ще одним вирішальним фактором є забезпечення належного налаштування всіх необхідних областей API. Якщо програма, що розміщується хмара, не вимагає права Оаут 2.0, Google може обмежити надані дозволи, за винятком оновлення жетонів. Розробники повинні перевірити, чи їх програма явно вимагає в режимі офлайн та включає відповідні сфери, наприклад "OpenID", "електронна пошта" та "профіль", у запиті автентифікації. Крім того, використовуючи включити_granted_scopes = "true" Параметр допомагає підтримувати дозволи, надані на попередніх сесіях.

Для подальшого підвищення безпеки та наполегливості автентифікації розробники повинні реалізувати надійну Зберігання жетонів. Замість зберігання жетонів у змінних сеансу, використання захищеної бази даних або зашифрованого механізму зберігання забезпечує, що доступи жетонів та оновлення жетонів залишаються доступними через перезавантаження сервера. Дотримуючись цих найкращих практик, розробники можуть забезпечити плавний та безперебійний потік аутентифікації в додатках, що розміщуються хмарами. 🔐