Google API: Cách xác thực mà không cần chuyển hướng?

Question

Chúng tôi muốn sử dụng API Google Doc để tạo Tài liệu (Trong tài khoản doanh nghiệp của chính chúng tôi) khi người dùng cuối thực hiện một số hành động trên trang web của chúng tôi.

Vấn đề là chúng tôi đã cố gắng triển khai giao thức OAuth 2.0, như được đề xuất trong tài liệu giao thức v3.0. Phương thức xác thực apiClient :: thực hiện chuyển hướng. Đây là vấn đề chính bởi vì người dùng của chúng tôi không biết quyền truy cập vào tài khoản doanh nghiệp của chính chúng tôi .... và chúng tôi không muốn cấp quyền truy cập cho họ;)

(Nói cách khác, chúng tôi không tạo một ứng dụng cho phép người dùng của chúng tôi chỉnh sửa dữ liệu của riêng họ, nhưng để tương tác với dữ liệu của chúng tôi, như cơ sở dữ liệu.)

Tôi đã đọc điểm OAuth 2.0 để tránh chúng tôi quản lý thông tin xác thực của người dùng. Cá nhân tôi là O.K. với khái niệm này, nhưng trong trường hợp của chúng tôi, chúng tôi không muốn được xác thực trong tài khoản google của người dùng ...

Vì vậy, cách tiếp cận tốt nhất để có được xác thực hợp lệ mà không có bất kỳ tương tác nào từ cuối người dùng ?

Answer 1

Những gì bạn mô tả không phải là cách OAuth được thiết kế để sử dụng.

OAuth 3 chân là tất cả khoảng ủy quyền xác thực nơi người dùng (biết mật khẩu của anh) có thể cấp quyền truy cập tài nguyên giới hạn và có thể quay lại ứng dụng. Ứng dụng đó không bao giờ thấy mật khẩu của người dùng. Có một loạt công việc liên quan đến việc cho phép ứng dụng mạo danh người dùng một cách an toàn.

Điều bạn có thể muốn là sử dụng luồng OAuth (2 chân), nơi thông tin đăng nhập consumer_id/consumer_secret được nhúng trong ứng dụng của bạn. Tại đây, ứng dụng của bạn không mạo danh người dùng cuối của bạn và sẽ không có chuyển hướng trình duyệt nào có liên quan.

Dưới đây là một số thông tin thêm về việc sử dụng OAuth 2 chân trong Google Apps: http://googleappsdeveloper.blogspot.com/2011/07/using-2-legged-oauth-with-google-tasks.html

Và đây là một mô tả tốt của 3 vs 2- OAuth chân: http://cakebaker.42dh.com/2011/01/10/2-legged-vs-3-legged-oauth/

Answer 2

Tại sao không nhận được một ủy quyền OAuth cho tài khoản doanh nghiệp của bạn và có tất cả người dùng sử dụng tài khoản đó. Vì có vẻ như bạn muốn mọi người truy cập dữ liệu cho một tài khoản, các chi tiết có thể bị ẩn khỏi người dùng cuối.

Mã thông báo truy cập sẽ được tất cả người dùng chia sẻ và tất cả họ đều sẽ truy cập vào cùng một tài khoản mà không có bất kỳ ủy quyền nào cho tài khoản của từng người dùng.

Answer 3

Bạn sẽ cần phải sử dụng TÀI KHOẢN DỊCH VỤ. Về cơ bản, bạn đang truy cập mã hóa cứng vào tài khoản này vào ứng dụng máy chủ của mình. Sau đó, bạn sử dụng chia sẻ để cấp quyền truy cập vào tài khoản cho nội dung bạn muốn. Ví dụ: bạn có thể chia sẻ Google Tài liệu hoặc hồ sơ Analytics với TÀI KHOẢN DỊCH VỤ.

Dưới đây là ví dụ hoàn chỉnh về việc thiết lập tài khoản dịch vụ, ghi nhật ký và sau đó sử dụng nó.

https://gist.github.com/fulldecent/6728257