Bẻ khóa mã của Google OAuth 2.0 làm mới mã thông báo bị thiếu trên GCE

Hiểu được sự khác biệt về mã thông báo làm mới trong OAuth 2.0

Hãy tưởng tượng phát triển luồng xác thực OAuth 2.0 liền mạch cho ứng dụng web của bạn. Mọi thứ đều hoạt động hoàn hảo trên máy cục bộ của bạn, nhưng khi được triển khai trên Google Cloud Engine (GCE), một phần thiết yếu của Token Token đã bị thiếu! Vấn đề này ngăn chặn gia hạn mã thông báo tự động, phá vỡ các phiên người dùng.

Nhiều nhà phát triển phải đối mặt với vấn đề bối rối này, mặc dù việc thực hiện access_type = "ngoại tuyến" và các thực tiễn tốt nhất khác. Môi trường Localhost luôn trả về một mã thông báo làm mới, trong khi việc triển khai đám mây không làm như vậy. Bí ẩn sâu sắc hơn khi cả hai thiết lập chia sẻ cùng một cơ sở mã và luồng xác thực.

Sau vô số giờ gỡ lỗi, giải pháp thường nằm trong một tham số bị bỏ qua: nhắc nhở lựa chọn. Điều chỉnh cài đặt này có thể có nghĩa là sự khác biệt giữa việc nhận mã thông báo làm mới và bị kẹt trong một vòng xác thực vô tận. Nhưng tại sao điều này xảy ra? 🤔

Trong bài viết này, chúng tôi sẽ mổ xẻ nguyên nhân gốc rễ của vấn đề này, khám phá hành vi OAuth 2.0 của Google và cung cấp một bản sửa lỗi cụ thể. Cho dù bạn đang chạy một Ứng dụng Flask Hoặc một khuôn khổ khác, bạn sẽ bỏ đi với một giải pháp làm việc và hiểu rõ hơn về những điều kỳ quặc xác thực của Google!

Hiểu OAuth 2.0 Làm mới Truy xuất mã thông báo trong các ứng dụng bình

OAuth 2.0 là một khung xác thực được sử dụng rộng rãi cho phép các ứng dụng xác thực người dùng thông qua các nhà cung cấp bên ngoài như Google. Trong ví dụ của chúng tôi, chúng tôi đã thực hiện một Bình ứng dụng sử dụng Yêu cầu_oauthlib Thư viện để xử lý quá trình xác thực. Tuy nhiên, một vấn đề quan trọng phát sinh: mã thông báo làm mới chỉ được cấp khi chạy cục bộ nhưng không phải trong môi trường đám mây. Vấn đề này đã ngăn chặn gia hạn mã thông báo tự động, yêu cầu người dùng thường xuyên xác thực lại.

Cốt lõi của giải pháp nằm ở việc điều chỉnh yêu cầu xác thực. Theo mặc định, Google chỉ cấp một mã thông báo làm mới khi được yêu cầu rõ ràng bằng cách sử dụng access_type = "ngoại tuyến". Tuy nhiên, trong một số trường hợp, thêm nhắc nhở = "sự đồng ý" Tham số là cần thiết để buộc Google nhấn mạnh lại người dùng để ủy quyền. Điều này đặc biệt quan trọng khi triển khai ứng dụng trên Động cơ đám mây Google (GCE), trong đó các quyền được cấp trước đó có thể không mang theo.

Tập lệnh của chúng tôi bắt đầu bằng cách khởi tạo phiên OAuth và chuyển hướng người dùng đến trang đăng nhập Google Google. Khi người dùng xác thực, Google sẽ trả về một mã ủy quyền, mà ứng dụng trao đổi cho một mã thông báo truy cập. Vấn đề chính là, nếu không có các tham số chính xác, Google sẽ không cung cấp mã thông báo làm mới, làm cho xác thực dài hạn không thể. Bằng cách sửa đổi yêu cầu bao gồm nhắc nhở = "sự đồng ý", chúng tôi đảm bảo rằng một mã thông báo làm mới mới luôn được tạo ra.

Để xác thực giải pháp, chúng tôi cũng đã tạo một thử nghiệm đơn vị để mô phỏng yêu cầu đăng nhập và xác minh rằng URL xác thực chính xác được trả về. Điều này đảm bảo rằng sửa chữa của chúng tôi hoạt động trên các môi trường khác nhau. Nếu bạn đã từng phải đối mặt với một vấn đề tương tự, nơi mà việc xác thực hành xử khác nhau trong sản xuất so với phát triển, hiểu rằng cách OAuth 2.0 xử lý các phiên người dùng và sự kiên trì mã thông báo là rất quan trọng. Với các điều chỉnh này, bạn có thể đảm bảo xác thực liền mạch và trải nghiệm người dùng tốt hơn. 🚀

from flask import Flask, redirect, session, request
from requests_oauthlib import OAuth2Session
app = Flask(__name__)
app.secret_key = "your_secret_key"
CLIENT_ID = "your_client_id"
CLIENT_SECRET = "your_client_secret"
AUTHORIZATION_BASE_URL = "https://accounts.google.com/o/oauth2/auth"
TOKEN_URL = "https://oauth2.googleapis.com/token"
REDIRECT_URI = "https://yourdomain.com/callback"
@app.route("/login")
def login():
    gcp = OAuth2Session(CLIENT_ID, redirect_uri=REDIRECT_URI, scope=["openid", "email", "profile"])
    authorization_url, state = gcp.authorization_url(AUTHORIZATION_BASE_URL, access_type="offline", prompt="consent")
    session["oauth_state"] = state
    return redirect(authorization_url)
@app.route("/callback")
def callback():
    gcp = OAuth2Session(CLIENT_ID, state=session["oauth_state"], redirect_uri=REDIRECT_URI)
    token = gcp.fetch_token(TOKEN_URL, client_secret=CLIENT_SECRET, authorization_response=request.url)
    session["oauth_token"] = token
    return "Login Successful"
if __name__ == "__main__":
    app.run(debug=True)

import unittest
from app import app
class OAuthTestCase(unittest.TestCase):
    def setUp(self):
        self.app = app.test_client()
    def test_login_redirect(self):
        response = self.app.get("/login")
        self.assertEqual(response.status_code, 302)
        self.assertIn("accounts.google.com", response.location)
if __name__ == "__main__":
    unittest.main()

Đảm bảo xác thực OAuth 2.0 an toàn và dai dẳng trong môi trường đám mây

Một thách thức chính mà các nhà phát triển phải đối mặt khi triển khai xác thực OAuth 2.0 trong đám mây là đảm bảo rằng quá trình xác thực vẫn tiếp tục trong các phiên. Khi không được cấp mã thông báo làm mới, người dùng phải thường xuyên xác thực, điều này có thể phá vỡ trải nghiệm người dùng. Vấn đề này thường phát sinh do cấu hình không chính xác của Màn hình đồng ý OAuth 2.0 Trong bảng điều khiển Google Cloud, dẫn đầu Google cho rằng ứng dụng không yêu cầu truy cập ngoại tuyến.

Một yếu tố quan trọng khác là đảm bảo rằng tất cả các phạm vi API cần thiết được cấu hình đúng. Nếu một ứng dụng được lưu trữ trên đám mây không yêu cầu quyền Phạm vi OAuth 2.0, Google có thể giới hạn các quyền được cấp, không bao gồm các mã thông báo làm mới. Các nhà phát triển nên xác minh rằng ứng dụng của họ yêu cầu truy cập ngoại tuyến rõ ràng và bao gồm các phạm vi có liên quan, chẳng hạn như "OpenID", "Email" và "Hồ sơ", trong yêu cầu xác thực. Ngoài ra, sử dụng bao gồm_granted_scopes = "true" Tham số giúp duy trì quyền được cấp trong các phiên trước.

Để tăng cường hơn nữa bảo mật và sự kiên trì xác thực, các nhà phát triển nên thực hiện mạnh mẽ lưu trữ mã thông báo. Thay vì lưu trữ mã thông báo trong các biến phiên, sử dụng cơ sở dữ liệu an toàn hoặc cơ chế lưu trữ được mã hóa đảm bảo rằng mã thông báo truy cập và làm mới mã thông báo vẫn có thể truy cập được trên các khởi động lại máy chủ. Bằng cách làm theo các thực tiễn tốt nhất này, các nhà phát triển có thể đảm bảo luồng xác thực mượt mà và không bị gián đoạn trong các ứng dụng được lưu trữ trên đám mây. 🔐