Guia de migração do fluxo fora de banda (OOB)

Visão geral

Em 16 de fevereiro de 2022, anunciamos planos para tornar as interações do Google OAuth mais seguras usando fluxos mais seguros. Este guia ajuda a entender as mudanças necessárias e as etapas usadas para migrar do fluxo do OAuth fora da banda (OOB, na sigla em inglês) para alternativas compatíveis.

Esse esforço é uma medida de proteção contra ataques de phishing e de representação de apps ataques durante interações com os endpoints de autorização do OAuth 2.0 do Google.

O fluxo OOB está sendo descontinuado para todos os tipos de clientes, ou seja, aplicativos da Web, Android, iOS, Plataforma Universal do Windows (UWP), apps Chrome, TVs & dispositivos de entrada limitada, apps para computador.

Determine se você foi afetado

Essa descontinuação é aplicável apenas a apps de produção (ou seja, apps com status de publicação definido como Em produção. O fluxo vai continuar funcionando para apps com o status de publicação Teste.

Revise o status de publicação na página de marca do OAuth do console do Google Cloud e siga para a próxima etapa se estiver usando o fluxo OOB em um projeto com um status de publicação "Em produção".

Como determinar se o app está usando o fluxo OOB

Inspecione o código do app ou a chamada de rede de saída (caso o app esteja usando uma biblioteca OAuth) para determinar se a solicitação de autorização do Google OAuth que o app está fazendo está usando um valor de URI de redirecionamento OOB.

Inspecionar o código do aplicativo

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
scope=<SCOPES>&
state=<STATE>&
redirect_uri=urn:ietf:wg:oauth:2.0:oob&
client_id=<CLIENT_ID>

Inspecionar a chamada de rede de saída

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
scope=<SCOPES>&
state=<STATE>&
redirect_uri=urn:ietf:wg:oauth:2.0:oob&
client_id=<CLIENT_ID>

Migrar para uma alternativa segura

Clientes para dispositivos móveis (Android / iOS)

Se você determinar que o app está usando o fluxo OOB com um tipo de cliente OAuth do Android ou iOS, migre para o uso dos SDKs recomendados (Android, iOS).

O SDK facilita o acesso às APIs do Google e processa todas as chamadas para os endpoints de autorização do OAuth 2.0 do Google.

Os links de documentação abaixo fornecem informações sobre como usar os SDKs recomendados para acessar as APIs do Google sem usar um URI de redirecionamento OOB.

Acessar as APIs do Google no Android

Acesso do lado do cliente

O exemplo a seguir mostra como acessar as APIs do Google no lado do cliente no Android usando a biblioteca recomendada dos Serviços de Identificação do Google para Android.

  List requestedScopes = Arrays.asList(DriveScopes.DRIVE_APPDATA);
    AuthorizationRequest authorizationRequest = AuthorizationRequest.builder().setRequestedScopes(requestedScopes).build();
    Identity.getAuthorizationClient(activity)
            .authorize(authorizationRequest)
            .addOnSuccessListener(
                authorizationResult -> {
                  if (authorizationResult.hasResolution()) {
                    // Access needs to be granted by the user
                    PendingIntent pendingIntent = authorizationResult.getPendingIntent();
                    try {
    startIntentSenderForResult(pendingIntent.getIntentSender(),
    REQUEST_AUTHORIZE, null, 0, 0, 0, null);
                    } catch (IntentSender.SendIntentException e) {
                    Log.e(TAG, "Couldn't start Authorization UI: " + e.getLocalizedMessage());
                    }
                  } else {
                    // Access already granted, continue with user action
                    saveToDriveAppFolder(authorizationResult);
                  }
                })
            .addOnFailureListener(e -> Log.e(TAG, "Failed to authorize", e));

Transmita o authorizationResult para o método definido para salvar o conteúdo na pasta do Google Drive do usuário. O authorizationResult tem o getAccessToken() método que retorna o token de acesso.

Acesso do lado do servidor (off-line)

  List requestedScopes = Arrays.asList(DriveScopes.DRIVE_APPDATA);
    AuthorizationRequest authorizationRequest = AuthorizationRequest.builder()
    .requestOfflineAccess(webClientId)
            .setRequestedScopes(requestedScopes)
            .build();
    Identity.getAuthorizationClient(activity)
            .authorize(authorizationRequest)
            .addOnSuccessListener(
                authorizationResult -> {
                  if (authorizationResult.hasResolution()) {
                    // Access needs to be granted by the user
                    PendingIntent pendingIntent = authorizationResult.getPendingIntent();
                    try {
    startIntentSenderForResult(pendingIntent.getIntentSender(),
    REQUEST_AUTHORIZE, null, 0, 0, 0, null);
                    } catch (IntentSender.SendIntentException e) {
                    Log.e(TAG, "Couldn't start Authorization UI: " + e.getLocalizedMessage());
                    }
                  } else {
                    String authCode = authorizationResult.getServerAuthCode();
                  }
                })
            .addOnFailureListener(e -> Log.e(TAG, "Failed to authorize", e));

O authorizationResult tem o getServerAuthCode() método que retorna o código de autorização que você pode enviar ao seu back-end para receber um token de acesso e token de atualização.

Acessar as APIs do Google em um app iOS

Acesso do lado do cliente

O exemplo abaixo mostra como acessar as APIs do Google no lado do cliente no iOS.

user.authentication.do { authentication, error in
  guard error == nil else { return }
  guard let authentication = authentication else { return }
  
  // Get the access token to attach it to a REST or gRPC request.
  let accessToken = authentication.accessToken
  
  // Or, get an object that conforms to GTMFetcherAuthorizationProtocol for
  // use with GTMAppAuth and the Google APIs client library.
  let authorizer = authentication.fetcherAuthorizer()
}

Use o token de acesso para chamar a API, incluindo o token de acesso no cabeçalho de uma solicitação REST ou gRPC (Authorization: Bearer ACCESS_TOKEN), ou usando o autorizador do buscador (GTMFetcherAuthorizationProtocol) com a biblioteca de cliente das APIs do Google para Objective-C para REST.

Consulte o guia de acesso do lado do cliente sobre como acessar as APIs do Google no lado do cliente. sobre como acessar as APIs do Google no lado do cliente.

Acesso do lado do servidor (off-line)

GIDSignIn.sharedInstance.signIn(with: signInConfig, presenting: self) { user, error in
  guard error == nil else { return }
  guard let user = user else { return }
  
  // request a one-time authorization code that your server exchanges for
  // an access token and refresh token
  let authCode = user.serverAuthCode
}

Consulte o guia de acesso do lado do servidor sobre como acessar as APIs do Google do lado do servidor.

Cliente do app Chrome

Se você determinar que o app está usando o fluxo OOB no cliente do app Chrome, migre para o uso da API Chrome Identity.

O exemplo abaixo mostra como receber todos os contatos do usuário sem usar um URI de redirecionamento OOB.