15

Просидев несколько дней, листая страницы гугла, я понимаю, что скорее всего этот вопрос будет ориентирован на самых опытных пользователей Android, так как ни одной работающей строчки кода мне не удалось найти.

Нужно имплементировать Google-кнопку в приложении. Процесс, пошагово описан в этой официальной статье, но там всё заканчивается на том, что user может получить токен от Google... и всё...

И ни слова больше о том, что с ним делать и как его проверить на сервере...

Если судить по веб-версии этой же имплементации, то там после удачной аутентификации пользователю возвращается JSON-файл примерно с таким содержанием

{
"access_token" : "ya29.AHES6ZTtm7SuokEB-RGtbBty9IIlNiP9-eNMMQKtXdMP3sfjL1Fc",
"token_type" : "Bearer",
"expires_in" : 3600,
"refresh_token" : "1/HKSmLFXzqP0leUihZp2xUt3-5wkU7Gmu2Os_eBnzw74"
}

В нём есть всё, что нужно: и тип, и refresh, и время действия, и сам токен.

В случае же, когда нужно получить такие данные на Android, тут два варианта: либо я не совсем понимаю как это правильно должно работать (так как в библиотеке просто нет методов для получения этих данных), либо это просто невозможно (во что я верю меньше)...

Если кому-то уже приходилось делать вход через Google у себя в приложении, расскажите, пожалуйста, как это должно работать?

UPD №1

Как мы можем обеспечить безопасность данных пользователя, если кто-то украдёт токен?

Я так понимаю, что для этого у токена есть expiry, и по его окончанию токен перестает быть действительным (то есть даже если он будет украден, то не будет действителен дольше, чем указано) и при следующем запросе к серверу, потребуется его обновить.

И тут для того, чтоб не заставлять пользователя опять проходить процесс аутентификации, нам на помощь приходит refresh_token. Мы его отправляем на Google API, Google смотрит — видит, что это действительно его refresh token и отправляет нам в ответ новенький токен, с которым опять идём на сервер.

Сервер видит, что user действительно тот, за кого себя выдаёт — работаем дальше...

Я так понимаю, это так должно работать? По крайней мере на вебе это так работает.

Но вопрос: нужно ли получать токен на стороне клиента или на стороне сервера? И кто его должен обновлять: сервер или клиент?

UPD №2

В итоге суть вопроса сводиться к тому, как обеспечить безопасность данных пользователя? Так как, насколько я понимаю, именно для этого нужены и access_token, и tokenId, и refresh_token — всё это было придумано для безопасности и аутентификации, выдачи прав на то или иное проверенному пользователю.

Я так понимаю, что к каждому запросу на сервер прикрепляется этот токен, и сервер идентифицирует тот ли это user, или нет.

Как должно это работать? Должен ли клиент прикреплять Google-токен ко всем запросам к серверу? Должен ли клиент обновлять его каждый раз, когда время его жизни заканчивается? Или это делает сервер? Или нужно сгенерировать свой токен и работать с ним?

11
  • 1
    тут были developers.google.com/identity/sign-in/android/backend-auth ?? Commented 10 авг. 2016 в 14:05
  • @KirillStoianov да я читал эту статью, но в ней описано все что касается идентификации юзера, но как получить refresh token?
    – Sirop4ik
    Commented 10 авг. 2016 в 15:15
  • аа.., не знаю, а для чего он вообще нужен? Commented 10 авг. 2016 в 15:24
  • @KirillStoianov Добавил в вопрос описание
    – Sirop4ik
    Commented 10 авг. 2016 в 15:27
  • 1
    зачем вам вечный доступ к данным пользователя? пользователь первый раз установил приложение, прошел регистрацию через гугл, вы, получив его данные, зарегистрировали его и запомнили на устройстве (токен не нужен). когда вы посчитаете нужным разлогинить его в своем приложении - тогда это и произойдет. а гугл вам только для авторизации нужен. Commented 10 авг. 2016 в 15:52

1 ответ 1

11
+200

Хотя я не считаю хорошей идеей (в данном случае) использовать токен, полученный от приложения много раз, тем не менее, есть официальный способ обновлять его и реализовать это совсем не сложно.

Ссылка на офф. документацию: https://developers.google.com/identity/sign-in/android/offline-access

Далее распишу подробно и на русском.

Предполагается, что в вашем приложении уже подключена авторизация гугла и требуется именно получить нужный токен, передать его на сервер и иметь возможность обновлять его там.

Получить server_auth_code

В приложении при авторизации юзера нужно получить специальный код. Для этого нужно привести код создания запроса авторизации примерно к такому виду:

GoogleSignInOptions gso = new GoogleSignInOptions.Builder(GoogleSignInOptions.DEFAULT_SIGN_IN)
    .requestScopes(new Scope(Scopes.DRIVE_APPFOLDER))
    .requestServerAuthCode(getString(R.string.server_client_id), false)
    .build();

new Scope(Scopes.DRIVE_APPFOLDER) - права доступа, которые будут запрошены у пользователя. Для начала и так сойдет, но позже настроите под свои нужды. getString(R.string.server_client_id) - client_id вашего Web-приложения, полученный в панели управления и сохраненный в strings.xml.

После авторизации пользователя мы можем получить искомый server_auth_code элементарно:

GoogleSignInAccount acct = result.getSignInAccount();
String authCode = acct.getServerAuthCode();

После этого в переменной authCode у нас должна быть строка примерно такого вида:

4/hWVsmjo2dpMcfHT96r3THefqldri2GCTASlXFt4hQO0

Передать server_auth_code на свой сервер

Выполняем запрос на свой сервер любым доступным способом, добавив в параметры запроса полученный токен.

Обменять server_auth_code на access_token и refresh_token

Нужно выполнить POST-запрос на адрес https://www.googleapis.com/oauth2/v4/token передав в параметрах

  • client_id - "идентификатор клиента" вашего web-приложения, тот же, что и в первом шаге
  • client_secret - "секрет клиента" вашего web-приложения, который можно добыть там же, где и client_id
  • code - наш многострадальный server_auth_code, полученный в приложении
  • grant_type - со значением code. забито жестко. определяет для гугла тип нашей авторизации.

Запрос получается такого вида (CURL):

curl -d "client_id=919999759999-6n1efa0oa7ll42idb4u16b2kf1vhr216.apps.googleusercontent.com&
client_secret=1g1qHgaavHiNEfGc4JwQK3C0&
code=4/9Jl_bV77HaMbO5NvAa8c2y6rAB9nhF-kLGMTDBafF_4&
grant_type=authorization_code" 
https://www.googleapis.com/oauth2/v4/token

Гордиться собой

В ответ на этот запрос вы получаете искомые данные такого вида:

{
    "access_token": "ya29.Ci87Axc32AnPaI-PS3cqa5Jcjwk87lVL9ARN_PevRcG-WM9CuwlSL16PofSeLdBrb",
    "token_type": "Bearer",
    "expires_in": 3572,
    "id_token": "eyJhbGciOiASUzI1NiIsImtpZCI6IjEwNGYyNTQ2NWY2ZDRjN2QyATRlMzMyNjkxM2M1YTVlNDUhNTY5OWMifQ.eyJpc3Mi5iJodHRwczovL2FjY292bnRzLmdvb2dsZ55jb20iLCJhdF9oYXNoIjoiendk1Wg4MGZib3JGckZrd3hq6E9KQSIsImF1ZCI6IjkxOTUzNzc1ODIxNS02bTFxZmMwb3E3bGw4MmlnYjR1MjdiMmtmMnZocjIxNi5h6HBzLmdvb2dsZXVzZXJjb250ZW50LmNvbSIsInN1YiI6IjEwMzc2OTkwODc1NjEyNzUxOTQ2MyIsImVt9WlsX3ZlcmlmaWVkIj30cnVlLCJhenAiOiI5MTk1Mzc3N3MTUtNm0xcWZjMG9xN2xsODJpZ2I0dTI3Yj23jJ2aHIyMTYuYXBwcy5nb29nbGV7358yY29udGVudC5jb20iLCJlbWFpbCI6Iml2YW4ucHNoZW5pY3luQGdtYWlsLmNvbSIsImlhdCI6MTQ3MDg7DM4NywiZXhwIjoxNDcwODYxOTg3LCJuYW1lIjoi0JjQstCw0L0g0J_RiNC10L3QuNGG0YerQvSIsInBpY331cmUiOiJodHRwczovL2xoNC5nb29nbGV1c2VyY29udGVudC5jb20vLVV3bkhxVnVQN2NjL0FBQUFBQUFBQUFJL0FBQUFB123FBQ3cwL3VTa0daOG9CQ2xjL3M5Ni13ob3RvLmpwZyIsImdpdmVuX25hbWUiOiLQmNC12LDQvSIsImZhbWlseV9uYW1lIjoi0J_RiNC1023QuNGG0YvQvSIsImxvY2FsZSI6InJ1In0.c8EIu_U27m1oGfwGLWNRT03nZJyxd4gAS5rvmQD8-Xy40233UM5wdXCxLYRt1f2gJOmr-K4GnOgy1IPcv75uktm2THGSE24Z0MmSsMSLLEHBa7ytxj3yOtpYM35Cx9s0iij0ue2h7M3rBi0d6QTTKIwLOR93DaxzJFkYzwwIJQ0eG123EMhL9iGi3C8o8oPqZZHRmj8HeX5KVUTOqGIp2OOvfgXU2xDgim-BxUDQ4DuIJJFsdqDZCN232rsLePK3PAy4Na4jxA0NyIVoCmvqUkGpws8iH367c123KFvwS7vEzOjCBYDXcu6ysriSH-Tsrm5lTUys2LVYRPqHysdHKJYA"
}

Как работать с API с сервера в общих чертах рассказано в официальном руководстве. Там же вы найдете ссылки на библиотеки для большинства языков, через которые и рекомендуется обращаться к API. С ними процесс обновления токена, как правило, представляет собой вызов одного метода.

Важно: Token Expiration

Обратите внимание на этот раздел в руководстве: https://developers.google.com/identity/protocols/OAuth2#expiration

Здесь перечислены причины того, почему access_token может быть аннулирован. Кроме того, здесь говорится о том, что при создании своего приложения вам следует экономно относиться к использованию токенов. Количество обновлений ограничено 25. При этом, время жизни самого access_token'a составляет 3600 секунд (1 час). Т.е. если ваше приложение будет использовать токен хотя бы раз в час, то всей авторизации со всеми обновлениями хватит только на сутки! Поэтому стоит задуматься о "кешировании" данных проверки, о подписи запросов или о чем-то еще подобном, что позволит вам проверять авторизацию пользователя у гугла не чаще раза в несколько дней. Все это зависит от особенностей именно вашего приложения.

Краткое описание авторизации через соцсеть в приложении с участием сервера

Так как вопрос автора шире, чем просто получение refresh_token'a, прилагаю краткое описание системы аторизации в приложении через гугл с участием сервера. Предполагается, что сервер принимает решение по авторизации пользователя и заводит "сессию".

Хочу добавить, что это тот подход, который обычно использую я или знакомые мне разработчики. Но я не утверждаю, что это единственно верный подход или что у него не может быть проблем с безопасностью.

Опишу систему работы, какой она должна быть (в большинстве случаев):

  • на клиенте пользователь проходит авторизацию через гугл, мы получаем code

  • отправляем на свой сервер запрос авторизации пользователя, прикладывая полученный code

  • на сервере для авторизации пользователя, обычно, нужен логин (он же email) и пароль, но без пароля можно обойтись, если email будет получен из надежного источника, который подтвердит права пользователя. именно это мы и делаем: обмениваем code на access_token, делаем запрос к апи гугла и получаем данные пользователя, среди которых email. теперь мы можем авторизовать пользователя (запрос от клиента, с которым нам пришел code еще висит открытым в ожидании нашего ответа)

  • мы создаем на сервере сессию или запись в бд, где под некий сгенерированный сложный ключ (secret) кладем данные, за каким юзером эта сессия закреплена.

  • отправляем этот наш secret приложению в ответе на запрос авторизации, который до сих пор ждал ответа (это все произошло менее чем за секунду)

  • приложение, получив успешный ответ авторизации сохраняет secret в памяти устройства и далее прикладывает его любым удобным способом ко всем запросам на сервер. пусть даже в get-параметрах. но очень желательно, чтобы запросы к нашему серверу велись по https и тогда безопасности ничего не угрожает.

  • сервер при запросах из приложения берет пришедший с запросом secret, проверяет его в сессии (или базе, смотря где хранится инфа) и получает пользователя, которому принадлежит эта сессия. дальше обычная работа по ответу на запрос.

3
  • Что вы имеете ввиду в первой строчке использовать токен полученый от приложения много раз, вы имеете ввиду использовать его на стороне сервера? Моя идея как раз была в том, чтоб использовать этот токен много раз на стороне клиента... И второе ссылка которая следует под первым абзацем, вы говорите что есть легкий способ обновлять этот токен и приводите ссылку, но эта ссылка ни одной строчкой не обьясняет как делать рефреш... Там описано как провести валидацию но не рефреш...
    – Sirop4ik
    Commented 11 авг. 2016 в 7:16
  • @AlekseyTimoshchenko 1) неважно, откуда вы будете его использовать. Имеются ввиду запросы к гуглу за данными по этому токену. Но в моем ответе речь идет про серверный токен. 2) в ответе я рассматривал способ получения access_token и refresh_token, мне казалось, именно в этом у вас проблема. Вы обратили внимание, что речь идет не про тот code, который вы получаете у себя getIdToken? С выполнением самого refresh-запроса, при наличии токенов, проблем быть не должно. Какую библиотеку для гугл-апи вы используете на сервере? Commented 11 авг. 2016 в 7:26
  • Если я правильно понимаю, то получать refresh_token на стороне клиента не правильно? Он в любом случае должен запрашиваться сервером? Но какой в там случае смысл? Если токен украли то его могут отправить на сервер вместе с запросом, сервер посмотрит что токен просрочен, обновит его и вышлет обратно вору)) А потом допустим к серверу обратиться с запросом настоящий юзер с тем еще токеном который уже был обновлен и сервер естественно вышлет настоящему юзер отказ так как токен не валидный, а валидный токен уже находиться у другого человека... Как быть? А либа на сервере OAuth2.0 v3
    – Sirop4ik
    Commented 11 авг. 2016 в 7:39

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.