14

Просидев несколько дней листая страницы гугла, я понимаю, что скорее всего этот вопрос будет ориентирован на самых опытных пользователей Android, так как ни одной работающей строчки кода мне не удалось найти.

Нужно имплементировать Google-кнопку в приложении. Процесс, пошагово описан в этой официальной статье, но там всё заканчивается на том, что user может получить токен от Google... и всё...

И ни слова больше о том, что с ним делать и как его проверить на сервере...

Если судить по веб-версии этой же имплементации, то там после удачной аутентификации пользователю возвращается JSON-файл примерно с таким содержанием

{
"access_token" : "ya29.AHES6ZTtm7SuokEB-RGtbBty9IIlNiP9-eNMMQKtXdMP3sfjL1Fc",
"token_type" : "Bearer",
"expires_in" : 3600,
"refresh_token" : "1/HKSmLFXzqP0leUihZp2xUt3-5wkU7Gmu2Os_eBnzw74"
}

В нём есть всё, что нужно: и тип, и refresh, и время действия, и сам токен.

В случае же, когда нужно получить такие данные на Android, тут два варианта: либо я не совсем понимаю как это правильно должно работать (так как в библиотеке просто нет методов для получения этих данных), либо это просто невозможно (во что я верю меньше)...

Если кому-то уже приходилось делать вход через Google у себя в приложении, расскажите, пожалуйста, как это должно работать?

UPD №1

Как мы можем обеспечить безопасность данных пользователя, если кто-то украдёт токен?

Я так понимаю, что для этого у токена есть expiry, и по его окончанию токен перестает быть действительным (то есть даже если он будет украден, то не будет действителен дольше, чем указано) и при следующем запросе к серверу, потребуется его обновить.

И тут для того, чтоб не заставлять пользователя опять проходить процесс аутентификации, нам на помощь приходит refresh_token. Мы его отправляем на Google API, Google смотрит — видит, что это действительно его refresh token и отправляет нам в ответ новенький токен, с которым опять идём на сервер.

Сервер видит, что user действительно тот, за кого себя выдаёт — работаем дальше...

Я так понимаю, это так должно работать? По крайней мере на вебе это так работает.

Но вопрос: нужно ли получать токен на стороне клиента или на стороне сервера? И кто его должен обновлять: сервер или клиент?

UPD №2

В итоге суть вопроса сводиться к тому, как обеспечить безопасность данных пользователя? Так как, насколько я понимаю, именно для этого нужены и access_token, и tokenId, и refresh_token — всё это было придумано для безопасности и аутентификации, выдачи прав на то или иное проверенному пользователю.

Я так понимаю, что к каждому запросу на сервер прикрепляется этот токен, и сервер идентифицирует тот ли это user, или нет.

Как должно это работать? Должен ли клиент прикреплять Google-токен ко всем запросам к серверу? Должен ли клиент обновлять его каждый раз, когда время его жизни заканчивается? Или это делает сервер? Или нужно сгенерировать свой токен и работать с ним?

11
  • 1
    тут были developers.google.com/identity/sign-in/android/backend-auth ?? 10 авг 2016 в 14:05
  • @KirillStoianov да я читал эту статью, но в ней описано все что касается идентификации юзера, но как получить refresh token?
    – Sirop4ik
    10 авг 2016 в 15:15
  • аа.., не знаю, а для чего он вообще нужен? 10 авг 2016 в 15:24
  • @KirillStoianov Добавил в вопрос описание
    – Sirop4ik
    10 авг 2016 в 15:27
  • 1
    зачем вам вечный доступ к данным пользователя? пользователь первый раз установил приложение, прошел регистрацию через гугл, вы, получив его данные, зарегистрировали его и запомнили на устройстве (токен не нужен). когда вы посчитаете нужным разлогинить его в своем приложении - тогда это и произойдет. а гугл вам только для авторизации нужен. 10 авг 2016 в 15:52

1 ответ 1

10
+200

Хотя я не считаю хорошей идеей (в данном случае) использовать токен, полученный от приложения много раз, тем не менее, есть официальный способ обновлять его и реализовать это совсем не сложно.

Ссылка на офф. документацию: https://developers.google.com/identity/sign-in/android/offline-access

Далее распишу подробно и на русском.

Предполагается, что в вашем приложении уже подключена авторизация гугла и требуется именно получить нужный токен, передать его на сервер и иметь возможность обновлять его там.

Получить server_auth_code

В приложении при авторизации юзера нужно получить специальный код. Для этого нужно привести код создания запроса авторизации примерно к такому виду:

GoogleSignInOptions gso = new GoogleSignInOptions.Builder(GoogleSignInOptions.DEFAULT_SIGN_IN)
    .requestScopes(new Scope(Scopes.DRIVE_APPFOLDER))
    .requestServerAuthCode(getString(R.string.server_client_id), false)
    .build();

new Scope(Scopes.DRIVE_APPFOLDER) - права доступа, которые будут запрошены у пользователя. Для начала и так сойдет, но позже настроите под свои нужды. getString(R.string.server_client_id) - client_id вашего Web-приложения, полученный в панели управления и сохраненный в strings.xml.

После авторизации пользователя мы можем получить искомый server_auth_code элементарно:

GoogleSignInAccount acct = result.getSignInAccount();
String authCode = acct.getServerAuthCode();

После этого в переменной authCode у нас должна быть строка примерно такого вида:

4/hWVsmjo2dpMcfHT96r3THefqldri2GCTASlXFt4hQO0

Передать server_auth_code на свой сервер

Выполняем запрос на свой сервер любым доступным способом, добавив в параметры запроса полученный токен.

Обменять server_auth_code на access_token и refresh_token

Нужно выполнить POST-запрос на адрес https://www.googleapis.com/oauth2/v4/token передав в параметрах

  • client_id - "идентификатор клиента" вашего web-приложения, тот же, что и в первом шаге
  • client_secret - "секрет клиента" вашего web-приложения, который можно добыть там же, где и client_id
  • code - наш многострадальный server_auth_code, полученный в приложении
  • grant_type - со значением code. забито жестко. определяет для гугла тип нашей авторизации.

Запрос получается такого вида (CURL):

curl -d "client_id=919999759999-6n1efa0oa7ll42idb4u16b2kf1vhr216.apps.googleusercontent.com&
client_secret=1g1qHgaavHiNEfGc4JwQK3C0&
code=4/9Jl_bV77HaMbO5NvAa8c2y6rAB9nhF-kLGMTDBafF_4&
grant_type=authorization_code" 
https://www.googleapis.com/oauth2/v4/token

Гордиться собой

В ответ на этот запрос вы получаете искомые данные такого вида:

{
    "access_token": "ya29.Ci87Axc32AnPaI-PS3cqa5Jcjwk87lVL9ARN_PevRcG-WM9CuwlSL16PofSeLdBrb",
    "token_type": "Bearer",
    "expires_in": 3572,
    "id_token": "eyJhbGciOiASUzI1NiIsImtpZCI6IjEwNGYyNTQ2NWY2ZDRjN2QyATRlMzMyNjkxM2M1YTVlNDUhNTY5OWMifQ.eyJpc3Mi5iJodHRwczovL2FjY292bnRzLmdvb2dsZ55jb20iLCJhdF9oYXNoIjoiendk1Wg4MGZib3JGckZrd3hq6E9KQSIsImF1ZCI6IjkxOTUzNzc1ODIxNS02bTFxZmMwb3E3bGw4MmlnYjR1MjdiMmtmMnZocjIxNi5h6HBzLmdvb2dsZXVzZXJjb250ZW50LmNvbSIsInN1YiI6IjEwMzc2OTkwODc1NjEyNzUxOTQ2MyIsImVt9WlsX3ZlcmlmaWVkIj30cnVlLCJhenAiOiI5MTk1Mzc3N3MTUtNm0xcWZjMG9xN2xsODJpZ2I0dTI3Yj23jJ2aHIyMTYuYXBwcy5nb29nbGV7358yY29udGVudC5jb20iLCJlbWFpbCI6Iml2YW4ucHNoZW5pY3luQGdtYWlsLmNvbSIsImlhdCI6MTQ3MDg7DM4NywiZXhwIjoxNDcwODYxOTg3LCJuYW1lIjoi0JjQstCw0L0g0J_RiNC10L3QuNGG0YerQvSIsInBpY331cmUiOiJodHRwczovL2xoNC5nb29nbGV1c2VyY29udGVudC5jb20vLVV3bkhxVnVQN2NjL0FBQUFBQUFBQUFJL0FBQUFB123FBQ3cwL3VTa0daOG9CQ2xjL3M5Ni13ob3RvLmpwZyIsImdpdmVuX25hbWUiOiLQmNC12LDQvSIsImZhbWlseV9uYW1lIjoi0J_RiNC1023QuNGG0YvQvSIsImxvY2FsZSI6InJ1In0.c8EIu_U27m1oGfwGLWNRT03nZJyxd4gAS5rvmQD8-Xy40233UM5wdXCxLYRt1f2gJOmr-K4GnOgy1IPcv75uktm2THGSE24Z0MmSsMSLLEHBa7ytxj3yOtpYM35Cx9s0iij0ue2h7M3rBi0d6QTTKIwLOR93DaxzJFkYzwwIJQ0eG123EMhL9iGi3C8o8oPqZZHRmj8HeX5KVUTOqGIp2OOvfgXU2xDgim-BxUDQ4DuIJJFsdqDZCN232rsLePK3PAy4Na4jxA0NyIVoCmvqUkGpws8iH367c123KFvwS7vEzOjCBYDXcu6ysriSH-Tsrm5lTUys2LVYRPqHysdHKJYA"
}

Как работать с API с сервера в общих чертах рассказано в официальном руководстве. Там же вы найдете ссылки на библиотеки для большинства языков, через которые и рекомендуется обращаться к API. С ними процесс обновления токена, как правило, представляет собой вызов одного метода.

Важно: Token Expiration

Обратите внимание на этот раздел в руководстве: https://developers.google.com/identity/protocols/OAuth2#expiration

Здесь перечислены причины того, почему access_token может быть аннулирован. Кроме того, здесь говорится о том, что при создании своего приложения вам следует экономно относиться к использованию токенов. Количество обновлений ограничено 25. При этом, время жизни самого access_token'a составляет 3600 секунд (1 час). Т.е. если ваше приложение будет использовать токен хотя бы раз в час, то всей авторизации со всеми обновлениями хватит только на сутки! Поэтому стоит задуматься о "кешировании" данных проверки, о подписи запросов или о чем-то еще подобном, что позволит вам проверять авторизацию пользователя у гугла не чаще раза в несколько дней. Все это зависит от особенностей именно вашего приложения.

Краткое описание авторизации через соцсеть в приложении с участием сервера

Так как вопрос автора шире, чем просто получение refresh_token'a, прилагаю краткое описание системы аторизации в приложении через гугл с участием сервера. Предполагается, что сервер принимает решение по авторизации пользователя и заводит "сессию".

Хочу добавить, что это тот подход, который обычно использую я или знакомые мне разработчики. Но я не утверждаю, что это единственно верный подход или что у него не может быть проблем с безопасностью.

Опишу систему работы, какой она должна быть (в большинстве случаев):

  • на клиенте пользователь проходит авторизацию через гугл, мы получаем code

  • отправляем на свой сервер запрос авторизации пользователя, прикладывая полученный code

  • на сервере для авторизации пользователя, обычно, нужен логин (он же email) и пароль, но без пароля можно обойтись, если email будет получен из надежного источника, который подтвердит права пользователя. именно это мы и делаем: обмениваем code на access_token, делаем запрос к апи гугла и получаем данные пользователя, среди которых email. теперь мы можем авторизовать пользователя (запрос от клиента, с которым нам пришел code еще висит открытым в ожидании нашего ответа)

  • мы создаем на сервере сессию или запись в бд, где под некий сгенерированный сложный ключ (secret) кладем данные, за каким юзером эта сессия закреплена.

  • отправляем этот наш secret приложению в ответе на запрос авторизации, который до сих пор ждал ответа (это все произошло менее чем за секунду)

  • приложение, получив успешный ответ авторизации сохраняет secret в памяти устройства и далее прикладывает его любым удобным способом ко всем запросам на сервер. пусть даже в get-параметрах. но очень желательно, чтобы запросы к нашему серверу велись по https и тогда безопасности ничего не угрожает.

  • сервер при запросах из приложения берет пришедший с запросом secret, проверяет его в сессии (или базе, смотря где хранится инфа) и получает пользователя, которому принадлежит эта сессия. дальше обычная работа по ответу на запрос.

3
  • Что вы имеете ввиду в первой строчке использовать токен полученый от приложения много раз, вы имеете ввиду использовать его на стороне сервера? Моя идея как раз была в том, чтоб использовать этот токен много раз на стороне клиента... И второе ссылка которая следует под первым абзацем, вы говорите что есть легкий способ обновлять этот токен и приводите ссылку, но эта ссылка ни одной строчкой не обьясняет как делать рефреш... Там описано как провести валидацию но не рефреш...
    – Sirop4ik
    11 авг 2016 в 7:16
  • @AlekseyTimoshchenko 1) неважно, откуда вы будете его использовать. Имеются ввиду запросы к гуглу за данными по этому токену. Но в моем ответе речь идет про серверный токен. 2) в ответе я рассматривал способ получения access_token и refresh_token, мне казалось, именно в этом у вас проблема. Вы обратили внимание, что речь идет не про тот code, который вы получаете у себя getIdToken? С выполнением самого refresh-запроса, при наличии токенов, проблем быть не должно. Какую библиотеку для гугл-апи вы используете на сервере? 11 авг 2016 в 7:26
  • Если я правильно понимаю, то получать refresh_token на стороне клиента не правильно? Он в любом случае должен запрашиваться сервером? Но какой в там случае смысл? Если токен украли то его могут отправить на сервер вместе с запросом, сервер посмотрит что токен просрочен, обновит его и вышлет обратно вору)) А потом допустим к серверу обратиться с запросом настоящий юзер с тем еще токеном который уже был обновлен и сервер естественно вышлет настоящему юзер отказ так как токен не валидный, а валидный токен уже находиться у другого человека... Как быть? А либа на сервере OAuth2.0 v3
    – Sirop4ik
    11 авг 2016 в 7:39

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.