7

Подскажите, как правильно сделать аутентификацию юзера, допустим при Google LogIn ?

Я не сильно в этом пока разобрался, поэтому прошу помочь понять, как правильно должно работать процесс LogIn-а.

Получается, когда я делаю логин с помощью гугла, то я отправляю запрос, гугл его подтверждает и возвращает ответ с конкретным юзером, я беру id этого юзера, его почту, имя и отправляю на сервер. Сервер проводит подтверждение этого юзера и возвращает обратно все данные по нему...

Но, что будет, если кто-то украл почту юзера, имя и id и отправил на сервер, и получил данные, получается не хорошо...

Если я правильно понял, то нужно от гугла получать Token, его тоже отправлять на сервер, сервер когда его получит обратиться тоже в гугл и проверит тот или не тот токен, и тогда все будет работать как нужно.

Но как в таком случае получить Token?

Подскажите, насколько я в правильном направлении?

Как вообще должен проходить процесс аутентификации с сервером?

ПРАВКА

Когда проходит аутентификация через гугл, то при нажатии на кнопку гугл предоставляет доступ к использованию своего апи.. Но ведь это никак не связано с аутентификацией на моем сервере...

Получается я получаю аутентификацию на гугле и не понятно как ее правильно связать с аутинфикацей на моем сервере?

ПРАВКА 2.0

public void initGoogleLogIn() {
    GoogleSignInOptions gso = getGoogleSignInOptions();
    mGoogleApiClient = getGoogleApiClient(gso);
    SignInButton btnSignIn = (SignInButton) authorizationActivity.findViewById(R.id.btn_sign_in);
    btnSignIn.setOnClickListener(listener);
}

@NonNull
private GoogleSignInOptions getGoogleSignInOptions() {
    return new GoogleSignInOptions.Builder(GoogleSignInOptions.DEFAULT_SIGN_IN)
            .requestIdToken(context.getResources().getString(R.string.server_id))
            .requestEmail()
            .build();

}

@NonNull
private GoogleApiClient getGoogleApiClient(GoogleSignInOptions gso) {
    return new GoogleApiClient.Builder(context)
            .enableAutoManage(authorizationActivity, listenerConnection)
            .addApi(Auth.GOOGLE_SIGN_IN_API, gso)
            .build();
}

@Override
public void onActivityResult(int requestCode, int resultCode, Intent data) {
    super.onActivityResult(requestCode, resultCode, data);
//      facebook
    FacebookImplementation.getCallbackManager()
            .onActivityResult(requestCode, resultCode, data);

//      google
    if (requestCode == States.GOOGLE_SIGNIN) {
        GoogleSignInResult result = Auth.GoogleSignInApi.getSignInResultFromIntent(data);
        handleSignInResult(result);
    }
}

private void handleSignInResult(GoogleSignInResult result) {
    Logger.log(ActivityAuthorization.class, ""+ result.getStatus().toString(), Logger.ERROR);

    if (result.isSuccess()) {
        Logger.log(GoogleImplementation.class, "User is connecting by Google LogIn", Logger.ERROR);

        // Signed in successfully, show authenticated UI.

    }else {
        Logger.log(GoogleImplementation.class, "!!!!!!!!!!!!", Logger.ERROR);

    }
}

2 ответа 2

8
+50

В приложении подключаете либу гугла для авторизации. Данные пользователя нужно получать, насколько я знаю, от API Google Plus, который является хранилищем данных пользователей.

  1. пользователь нажимает кнопку "авторизоваться", у него промигивают окна (авторизация на гугле, выдача разрешений) и он возвращается в приложение.
  2. приложение получает от либы данные пользователя и access_token.
  3. передаете access_token на свой сервер. Никакие данные пользователя получать от либы и передавать на сервер не требуется, им нельзя будет доверять.
  4. используя access_token, на сервере получаете от гугла необходимые данные пользователя и производите необходимые действия по авторизации/регистрации, после чего отвечаете приложению.

Возможно, access_token, полученный в приложении, так просто нельзя будет использовать с сервера (с другого ip). Как правило, это решается добавлением некоего параметра к запросу авторизации.

Получение access_token выполняется примерно таким образом:

accessToken = GoogleAuthUtil.getToken(
    getApplicationContext(),
    mPlusClient.getAccountName(), "oauth2:"
        + Scopes.PLUS_LOGIN + " "
        + Scopes.PLUS_PROFILE+" https://www.googleapis.com/auth/plus.profile.emails.read");

Здесь хорошие примеры кода по получению токена: https://stackoverflow.com/questions/23759529/android-how-to-get-google-plus-access-token

6
  • Кстати интересно, я не обратил внимания первый раз. Получается если я правильно понял, то не клиент с гугла получает свои данные и отправляет для подтверждения их на сервер, а получается, что все что должен отправить клиент на сервер это токен, а уже по этому токену сервер сам все получит и отправит обратно клиенту, верно?
    – Sirop4ik
    1 авг 2016 в 6:53
  • @AlekseyTimoshchenko если под клиентом вы имеете ввиду приложение - то да, все верно. Точнее, приложение может получить от гугловых сервисов как данные пользователя, так и токен. Но данные пользователя нам, в данном случае, не нужны, так как сервер им не сможет доверять. Но не понял насчет "отправит обратно клиенту"? Зачем с сервера обратно клиенту отправлять данные пользователя? Вам же нужно провести авторизацию на сервере, или я что-то неверно понял? 1 авг 2016 в 7:36
  • Да, все верно нужно провести авторизацию, но вот пример, я открываю приложения делаю логин с гуглом и прохожу авторизацию, но где приложение должно взять допустим мою фотографию профиля, имя и т.д. (для отображения в боковом меню как пример)? Сервер после проверки токена должен выслать обратно или на стороне клиента с гугл аккаунта их получить?
    – Sirop4ik
    3 авг 2016 в 10:10
  • @AlekseyTimoshchenko да как вам удобнее. Если у вас есть система пользователей, хранимая на сервере и аватары у них - очевидно, должен присылать сервер всю инфу о юзере. Если у вас на сервере ничего про юзера не хранится - можно и напрямую из соцсети. 3 авг 2016 в 17:29
  • а можете обьяснить я не могу понять как получать время действия токен ид? Вот я получаю токен ид при регистрации через гугл, но там нет никакого метода которым можно получить время его действия...
    – Sirop4ik
    7 авг 2016 в 7:28
4

В вашем случае без токена никак нельзя

Для начала прочтите эту статью

А потом загляните в Google OAuth 2.0 песочницу

Вам многое станет понятно сразу

Для подробного изучения рекомендую прочесть документ технический стандарт OAuth 2.0

7
  • Спасибо! Действительно стало понятнее... Но теперь возник вопрос, может вы знает как ответить? Когда проходит аутентификация через гугл, то при нажатии на кнопку гугл предоставляет доступ к использованию своего апи.. Но ведь это никак не связано с аутентификацией на моем сервере... Получается я получаю аутентификацию на гугле и не понятно как ее правильно связать с аутинфикацей на моем сервере?
    – Sirop4ik
    30 июл 2016 в 18:28
  • А можете пожалуйста обьяснить согласно статьи ссылка на которую указана в вашем ответе, так написано, что нужно получать expiry этого токен ид... Но я не могу понять как получать это время действия? Вот я получаю токен ид при регистрации через гугл, но там нет никакого метода которым можно получить время действия...
    – Sirop4ik
    7 авг 2016 в 7:27
  • @AlekseyTimoshchenko после обмена authorisation code на токены используя пример google (googleapis.com/oauth2/v4/token), при успешном ответе прийдет JSON массив схожий с этим { "access_token":"1/fFAGRNJru1FTz70BzhT3Zg", "expires_in":3920, "token_type":"Bearer" } где параметр expires_in это и есть время действия access токена. Внимательно изучите developers.google.com/identity/protocols/… 7 авг 2016 в 7:47
  • Если я все правильно понимаю, то данные по времени жизни токена и refresh токена должны получаться на сервере и отправляться обратно клиенту... Клиент на сервер отправляет только tokenId и все?
    – Sirop4ik
    7 авг 2016 в 14:02

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.