Хотя я не считаю хорошей идеей (в данном случае) использовать токен, полученный от приложения много раз, тем не менее, есть официальный способ обновлять его и реализовать это совсем не сложно.
Ссылка на офф. документацию: https://developers.google.com/identity/sign-in/android/offline-access
Далее распишу подробно и на русском.
Предполагается, что в вашем приложении уже подключена авторизация гугла и требуется именно получить нужный токен, передать его на сервер и иметь возможность обновлять его там.
Получить server_auth_code
В приложении при авторизации юзера нужно получить специальный код. Для этого нужно привести код создания запроса авторизации примерно к такому виду:
GoogleSignInOptions gso = new GoogleSignInOptions.Builder(GoogleSignInOptions.DEFAULT_SIGN_IN)
.requestScopes(new Scope(Scopes.DRIVE_APPFOLDER))
.requestServerAuthCode(getString(R.string.server_client_id), false)
.build();
new Scope(Scopes.DRIVE_APPFOLDER)
- права доступа, которые будут запрошены у пользователя. Для начала и так сойдет, но позже настроите под свои нужды.
getString(R.string.server_client_id)
- client_id вашего Web-приложения, полученный в панели управления
и сохраненный в strings.xml
.
После авторизации пользователя мы можем получить искомый server_auth_code элементарно:
GoogleSignInAccount acct = result.getSignInAccount();
String authCode = acct.getServerAuthCode();
После этого в переменной authCode у нас должна быть строка примерно такого вида:
4/hWVsmjo2dpMcfHT96r3THefqldri2GCTASlXFt4hQO0
Передать server_auth_code на свой сервер
Выполняем запрос на свой сервер любым доступным способом, добавив в параметры запроса полученный токен.
Обменять server_auth_code на access_token и refresh_token
Нужно выполнить POST-запрос на адрес https://www.googleapis.com/oauth2/v4/token
передав в параметрах
client_id
- "идентификатор клиента" вашего web-приложения, тот же, что и в первом шаге
client_secret
- "секрет клиента" вашего web-приложения, который можно добыть там же, где и client_id
code
- наш многострадальный server_auth_code, полученный в приложении
grant_type
- со значением code
. забито жестко. определяет для гугла тип нашей авторизации.
Запрос получается такого вида (CURL):
curl -d "client_id=919999759999-6n1efa0oa7ll42idb4u16b2kf1vhr216.apps.googleusercontent.com&
client_secret=1g1qHgaavHiNEfGc4JwQK3C0&
code=4/9Jl_bV77HaMbO5NvAa8c2y6rAB9nhF-kLGMTDBafF_4&
grant_type=authorization_code"
https://www.googleapis.com/oauth2/v4/token
Гордиться собой
В ответ на этот запрос вы получаете искомые данные такого вида:
{
"access_token": "ya29.Ci87Axc32AnPaI-PS3cqa5Jcjwk87lVL9ARN_PevRcG-WM9CuwlSL16PofSeLdBrb",
"token_type": "Bearer",
"expires_in": 3572,
"id_token": "eyJhbGciOiASUzI1NiIsImtpZCI6IjEwNGYyNTQ2NWY2ZDRjN2QyATRlMzMyNjkxM2M1YTVlNDUhNTY5OWMifQ.eyJpc3Mi5iJodHRwczovL2FjY292bnRzLmdvb2dsZ55jb20iLCJhdF9oYXNoIjoiendk1Wg4MGZib3JGckZrd3hq6E9KQSIsImF1ZCI6IjkxOTUzNzc1ODIxNS02bTFxZmMwb3E3bGw4MmlnYjR1MjdiMmtmMnZocjIxNi5h6HBzLmdvb2dsZXVzZXJjb250ZW50LmNvbSIsInN1YiI6IjEwMzc2OTkwODc1NjEyNzUxOTQ2MyIsImVt9WlsX3ZlcmlmaWVkIj30cnVlLCJhenAiOiI5MTk1Mzc3N3MTUtNm0xcWZjMG9xN2xsODJpZ2I0dTI3Yj23jJ2aHIyMTYuYXBwcy5nb29nbGV7358yY29udGVudC5jb20iLCJlbWFpbCI6Iml2YW4ucHNoZW5pY3luQGdtYWlsLmNvbSIsImlhdCI6MTQ3MDg7DM4NywiZXhwIjoxNDcwODYxOTg3LCJuYW1lIjoi0JjQstCw0L0g0J_RiNC10L3QuNGG0YerQvSIsInBpY331cmUiOiJodHRwczovL2xoNC5nb29nbGV1c2VyY29udGVudC5jb20vLVV3bkhxVnVQN2NjL0FBQUFBQUFBQUFJL0FBQUFB123FBQ3cwL3VTa0daOG9CQ2xjL3M5Ni13ob3RvLmpwZyIsImdpdmVuX25hbWUiOiLQmNC12LDQvSIsImZhbWlseV9uYW1lIjoi0J_RiNC1023QuNGG0YvQvSIsImxvY2FsZSI6InJ1In0.c8EIu_U27m1oGfwGLWNRT03nZJyxd4gAS5rvmQD8-Xy40233UM5wdXCxLYRt1f2gJOmr-K4GnOgy1IPcv75uktm2THGSE24Z0MmSsMSLLEHBa7ytxj3yOtpYM35Cx9s0iij0ue2h7M3rBi0d6QTTKIwLOR93DaxzJFkYzwwIJQ0eG123EMhL9iGi3C8o8oPqZZHRmj8HeX5KVUTOqGIp2OOvfgXU2xDgim-BxUDQ4DuIJJFsdqDZCN232rsLePK3PAy4Na4jxA0NyIVoCmvqUkGpws8iH367c123KFvwS7vEzOjCBYDXcu6ysriSH-Tsrm5lTUys2LVYRPqHysdHKJYA"
}
Как работать с API с сервера в общих чертах рассказано в официальном руководстве. Там же вы найдете ссылки на библиотеки для большинства языков, через которые и рекомендуется обращаться к API. С ними процесс обновления токена, как правило, представляет собой вызов одного метода.
Важно: Token Expiration
Обратите внимание на этот раздел в руководстве: https://developers.google.com/identity/protocols/OAuth2#expiration
Здесь перечислены причины того, почему access_token
может быть аннулирован. Кроме того, здесь говорится о том, что при создании своего приложения вам следует экономно относиться к использованию токенов. Количество обновлений ограничено 25. При этом, время жизни самого access_token'a составляет 3600 секунд (1 час). Т.е. если ваше приложение будет использовать токен хотя бы раз в час, то всей авторизации со всеми обновлениями хватит только на сутки! Поэтому стоит задуматься о "кешировании" данных проверки, о подписи запросов или о чем-то еще подобном, что позволит вам проверять авторизацию пользователя у гугла не чаще раза в несколько дней. Все это зависит от особенностей именно вашего приложения.
Краткое описание авторизации через соцсеть в приложении с участием сервера
Так как вопрос автора шире, чем просто получение refresh_token'a, прилагаю краткое описание системы аторизации в приложении через гугл с участием сервера. Предполагается, что сервер принимает решение по авторизации пользователя и заводит "сессию".
Хочу добавить, что это тот подход, который обычно использую я или знакомые мне разработчики. Но я не утверждаю, что это единственно верный подход или что у него не может быть проблем с безопасностью.
Опишу систему работы, какой она должна быть (в большинстве случаев):
на клиенте пользователь проходит авторизацию через гугл, мы получаем code
отправляем на свой сервер запрос авторизации пользователя, прикладывая полученный code
на сервере для авторизации пользователя, обычно, нужен логин (он же email) и пароль, но без пароля можно обойтись, если email будет получен из надежного источника, который подтвердит права пользователя. именно это мы и делаем: обмениваем code на access_token, делаем запрос к апи гугла и получаем данные пользователя, среди которых email. теперь мы можем авторизовать пользователя (запрос от клиента, с которым нам пришел code еще висит открытым в ожидании нашего ответа)
мы создаем на сервере сессию или запись в бд, где под некий сгенерированный сложный ключ (secret) кладем данные, за каким юзером эта сессия закреплена.
отправляем этот наш secret приложению в ответе на запрос авторизации, который до сих пор ждал ответа (это все произошло менее чем за секунду)
приложение, получив успешный ответ авторизации сохраняет secret в памяти устройства и далее прикладывает его любым удобным способом ко всем запросам на сервер. пусть даже в get-параметрах. но очень желательно, чтобы запросы к нашему серверу велись по https и тогда безопасности ничего не угрожает.
сервер при запросах из приложения берет пришедший с запросом secret, проверяет его в сессии (или базе, смотря где хранится инфа) и получает пользователя, которому принадлежит эта сессия. дальше обычная работа по ответу на запрос.