মোবাইল এবং ডেস্কটপ অ্যাপের জন্য OAuth 2.0

এই ডকুমেন্টটিতে ব্যাখ্যা করা হয়েছে যে, ফোন, ট্যাবলেট এবং কম্পিউটারের মতো ডিভাইসে ইনস্টল করা অ্যাপ্লিকেশনগুলি কীভাবে ইউটিউব ডেটা এপিআই-তে অ্যাক্সেস অনুমোদন করার জন্য গুগলের OAuth 2.0 এন্ডপয়েন্টগুলি ব্যবহার করে।

OAuth 2.0 ব্যবহারকারীদের ইউজারনেম, পাসওয়ার্ড এবং অন্যান্য তথ্য গোপন রেখে কোনো অ্যাপ্লিকেশনের সাথে নির্দিষ্ট ডেটা শেয়ার করার সুযোগ দেয়। উদাহরণস্বরূপ, কোনো অ্যাপ্লিকেশন একজন ব্যবহারকারীর ইউটিউব চ্যানেলে ভিডিও আপলোড করার অনুমতি পেতে OAuth 2.0 ব্যবহার করতে পারে।

ইনস্টল করা অ্যাপগুলো আলাদা আলাদা ডিভাইসে বিতরণ করা হয় এবং ধরে নেওয়া হয় যে এই অ্যাপগুলো গোপনীয় তথ্য রক্ষা করতে পারে না। ব্যবহারকারী অ্যাপটিতে উপস্থিত থাকা অবস্থায় অথবা অ্যাপটি ব্যাকগ্রাউন্ডে চলার সময়েও এগুলো গুগল এপিআই (Google API) অ্যাক্সেস করতে পারে।

এই অনুমোদন প্রক্রিয়াটি ওয়েব সার্ভার অ্যাপ্লিকেশনগুলির জন্য ব্যবহৃত প্রক্রিয়ার অনুরূপ। প্রধান পার্থক্য হলো, ইনস্টল করা অ্যাপগুলিকে অবশ্যই সিস্টেম ব্রাউজার খুলতে হবে এবং গুগলের অনুমোদন সার্ভার থেকে আসা প্রতিক্রিয়াগুলি পরিচালনা করার জন্য একটি স্থানীয় রিডাইরেক্ট ইউআরআই সরবরাহ করতে হবে।

লাইব্রেরি এবং নমুনা

iOS অ্যাপের জন্য আমরা ‘Sign In With Google iOS SDK’- এর সর্বশেষ সংস্করণটি ব্যবহার করার পরামর্শ দিই। এই SDK ব্যবহারকারীর অনুমোদন পরিচালনা করে এবং এই নির্দেশিকায় বর্ণিত নিম্ন-স্তরের প্রোটোকলের চেয়ে এটি প্রয়োগ করা সহজতর।

যেসব ডিভাইসে সিস্টেম ব্রাউজার সাপোর্ট করে না অথবা যেগুলোর ইনপুট ক্ষমতা সীমিত, যেমন টিভি, গেম কনসোল, ক্যামেরা বা প্রিন্টার, সেগুলোতে চালিত অ্যাপের জন্য ‘টিভি ও ডিভাইসের জন্য OAuth 2.0’ অথবা ‘টিভি এবং সীমিত ইনপুট ডিভাইসে সাইন-ইন’ দেখুন।

পূর্বশর্ত

আপনার প্রোজেক্টের জন্য এপিআই (API) সক্রিয় করুন

যে কোনো অ্যাপ্লিকেশন যা গুগল এপিআই কল করে, তাকে এপিআই কনসোলে সেই এপিআইগুলো সক্রিয় করতে হবে।

আপনার প্রোজেক্টের জন্য একটি API সক্রিয় করতে:

1. গুগল এপিআই কনসোলে এপিআই লাইব্রেরিটি খুলুন ।
2. অনুরোধ করা হলে, একটি প্রজেক্ট নির্বাচন করুন অথবা নতুন একটি তৈরি করুন।
3. লাইব্রেরি পৃষ্ঠা ব্যবহার করে ইউটিউব ডেটা এপিআই (YouTube Data API) খুঁজুন এবং সক্রিয় করুন। আপনার অ্যাপ্লিকেশন ব্যবহার করবে এমন অন্য যেকোনো এপিআই (API) খুঁজুন এবং সেগুলোও সক্রিয় করুন।

অনুমোদনের প্রমাণপত্র তৈরি করুন

যে কোনো অ্যাপ্লিকেশন যা গুগল এপিআই (Google API) অ্যাক্সেস করার জন্য OAuth 2.0 ব্যবহার করে, সেটির অবশ্যই এমন অনুমোদন ক্রেডেনশিয়াল (authorization credentials) থাকতে হবে যা গুগলের OAuth 2.0 সার্ভারের কাছে অ্যাপ্লিকেশনটিকে শনাক্ত করে। নিম্নলিখিত ধাপগুলোতে আপনার প্রোজেক্টের জন্য ক্রেডেনশিয়াল তৈরি করার পদ্ধতি ব্যাখ্যা করা হয়েছে। এরপর আপনার অ্যাপ্লিকেশনগুলো সেই ক্রেডেনশিয়াল ব্যবহার করে আপনার প্রোজেক্টের জন্য সক্রিয় করা এপিআইগুলো অ্যাক্সেস করতে পারবে।

1. ক্লায়েন্ট পৃষ্ঠায় যান।
2. ক্লায়েন্ট তৈরি করুন -এ ক্লিক করুন।
3. নিম্নলিখিত বিভাগগুলিতে গুগলের অনুমোদন সার্ভার দ্বারা সমর্থিত ক্লায়েন্টের প্রকারগুলি বর্ণনা করা হয়েছে। আপনার অ্যাপ্লিকেশনের জন্য প্রস্তাবিত ক্লায়েন্টের প্রকারটি বেছে নিন, আপনার OAuth ক্লায়েন্টের নাম দিন এবং ফর্মের অন্যান্য ক্ষেত্রগুলি যথাযথভাবে সেট করুন।

ms-app://YOUR_APP_PACKAGE_SID

অ্যাক্সেসের পরিধি শনাক্ত করুন

স্কোপ আপনার অ্যাপ্লিকেশনকে শুধুমাত্র প্রয়োজনীয় রিসোর্সগুলিতে অ্যাক্সেসের অনুরোধ করার সুযোগ দেয় এবং একই সাথে ব্যবহারকারীদেরকে আপনার অ্যাপ্লিকেশনকে দেওয়া অ্যাক্সেসের পরিমাণ নিয়ন্ত্রণ করতে সক্ষম করে। সুতরাং, অনুরোধ করা স্কোপের সংখ্যা এবং ব্যবহারকারীর সম্মতি পাওয়ার সম্ভাবনার মধ্যে একটি বিপরীত সম্পর্ক থাকতে পারে।

OAuth 2.0 অথরাইজেশন প্রয়োগ করা শুরু করার আগে, আমরা আপনাকে সেই স্কোপগুলি চিহ্নিত করার পরামর্শ দিই যেগুলিতে আপনার অ্যাপের অ্যাক্সেসের জন্য অনুমতির প্রয়োজন হবে।

ইউটিউব ডেটা এপিআই v3 নিম্নলিখিত স্কোপগুলি ব্যবহার করে:

OAuth 2.0 API Scopes ডকুমেন্টটিতে সেই সমস্ত স্কোপের একটি সম্পূর্ণ তালিকা রয়েছে যা আপনি গুগল এপিআই অ্যাক্সেস করতে ব্যবহার করতে পারেন।

OAuth 2.0 অ্যাক্সেস টোকেন প্রাপ্তি

নিম্নলিখিত ধাপগুলোতে দেখানো হয়েছে, কীভাবে আপনার অ্যাপ্লিকেশনটি কোনো ব্যবহারকারীর পক্ষ থেকে একটি এপিআই (API) অনুরোধ সম্পাদন করার জন্য তার সম্মতি পেতে গুগলের OAuth 2.0 সার্ভারের সাথে যোগাযোগ করে। ব্যবহারকারীর অনুমোদন প্রয়োজন এমন কোনো গুগল এপিআই অনুরোধ কার্যকর করার আগে আপনার অ্যাপ্লিকেশনটির অবশ্যই সেই সম্মতি থাকতে হবে।

ধাপ ১: একটি কোড ভেরিফায়ার এবং চ্যালেঞ্জ তৈরি করুন

ইনস্টল করা অ্যাপের প্রবাহকে আরও সুরক্ষিত করতে গুগল প্রুফ কী ফর কোড এক্সচেঞ্জ (PKCE) প্রোটোকল সমর্থন করে। প্রতিটি অনুমোদন অনুরোধের জন্য একটি অনন্য কোড ভেরিফায়ার তৈরি করা হয় এবং এর রূপান্তরিত মান, যাকে "কোড_চ্যালেঞ্জ" বলা হয়, অনুমোদন কোডটি পাওয়ার জন্য অনুমোদন সার্ভারে পাঠানো হয়।

কোড যাচাইকারী তৈরি করুন

একটি code_verifier হলো একটি উচ্চ-এনট্রপি ক্রিপ্টোগ্রাফিক র‍্যান্ডম স্ট্রিং, যা [AZ] / [az] / [0-9] / "-" / "." / "_" / "~" এই অসংরক্ষিত অক্ষরগুলো ব্যবহার করে তৈরি, যার সর্বনিম্ন দৈর্ঘ্য ৪৩ অক্ষর এবং সর্বোচ্চ দৈর্ঘ্য ১২৮ অক্ষর।

কোড যাচাইকারীর যথেষ্ট এনট্রপি থাকা উচিত, যাতে এর মান অনুমান করা অবাস্তব হয়ে পড়ে।

কোড চ্যালেঞ্জ তৈরি করুন

কোড চ্যালেঞ্জ তৈরি করার দুটি পদ্ধতি সমর্থিত।

code_challenge = BASE64URL-ENCODE(SHA256(ASCII(code_verifier)))

code_challenge = code_verifier

ধাপ ২: গুগলের OAuth 2.0 সার্ভারে একটি অনুরোধ পাঠান

ব্যবহারকারীর অনুমোদন পেতে, https://accounts.google.com/o/oauth2/v2/auth ঠিকানায় গুগলের অনুমোদন সার্ভারে একটি অনুরোধ পাঠান। এই এন্ডপয়েন্টটি সক্রিয় সেশন অনুসন্ধান, ব্যবহারকারীর প্রমাণীকরণ এবং ব্যবহারকারীর সম্মতি গ্রহণ করে। এন্ডপয়েন্টটি শুধুমাত্র SSL-এর মাধ্যমে অ্যাক্সেসযোগ্য এবং এটি HTTP (নন-SSL) সংযোগ গ্রহণ করে না।

অনুমোদন সার্ভারটি ইনস্টল করা অ্যাপ্লিকেশনগুলির জন্য নিম্নলিখিত কোয়েরি স্ট্রিং প্যারামিটারগুলি সমর্থন করে:

নমুনা অনুমোদন ইউআরএল

নিচের ট্যাবগুলোতে বিভিন্ন রিডাইরেক্ট ইউআরআই অপশনের জন্য নমুনা অথরাইজেশন ইউআরএল দেখানো হয়েছে।

redirect_uri প্যারামিটারের মান ছাড়া URL-গুলো হুবহু একই। URL-গুলোতে প্রয়োজনীয় response_type ও client_id প্যারামিটারের পাশাপাশি ঐচ্ছিক state প্যারামিটারও রয়েছে। পাঠযোগ্যতার জন্য প্রতিটি URL-এ লাইন ব্রেক এবং স্পেস দেওয়া আছে।

https://accounts.google.com/o/oauth2/v2/auth?
 scope=https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fyoutube.readonly&
 response_type=code&
 state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foauth2.example.com%2Ftoken&
 redirect_uri=com.example.app%3A/oauth2redirect&
 client_id=client_id

https://accounts.google.com/o/oauth2/v2/auth?
 scope=https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fyoutube.readonly&
 response_type=code&
 state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foauth2.example.com%2Ftoken&
 redirect_uri=http%3A//127.0.0.1%3A9004&
 client_id=client_id

ধাপ ৩: গুগল ব্যবহারকারীর কাছে সম্মতি চায়

এই ধাপে, ব্যবহারকারী আপনার অ্যাপ্লিকেশনকে অনুরোধ করা অ্যাক্সেস দেবেন কিনা, সেই সিদ্ধান্ত নেন। এই পর্যায়ে, গুগল একটি সম্মতি উইন্ডো প্রদর্শন করে, যেখানে আপনার অ্যাপ্লিকেশনের নাম, ব্যবহারকারীর অনুমোদন ক্রেডেনশিয়াল ব্যবহার করে যে গুগল এপিআই পরিষেবাগুলিতে অ্যাক্সেসের অনুমতি চাওয়া হচ্ছে তার নাম এবং যে অ্যাক্সেসের পরিধিগুলো মঞ্জুর করা হবে তার একটি সারসংক্ষেপ দেখানো হয়। এরপর ব্যবহারকারী আপনার অ্যাপ্লিকেশনের অনুরোধ করা এক বা একাধিক পরিধিতে অ্যাক্সেস মঞ্জুর করতে সম্মতি দিতে পারেন অথবা অনুরোধটি প্রত্যাখ্যান করতে পারেন।

এই পর্যায়ে আপনার অ্যাপ্লিকেশনের কিছু করার প্রয়োজন নেই, কারণ এটি গুগলের OAuth 2.0 সার্ভার থেকে অ্যাক্সেস দেওয়া হয়েছে কিনা সেই প্রতিক্রিয়ার জন্য অপেক্ষা করে। সেই প্রতিক্রিয়াটি পরবর্তী ধাপে ব্যাখ্যা করা হয়েছে।

ধাপ ৪: OAuth 2.0 সার্ভারের প্রতিক্রিয়া পরিচালনা করুন

আপনার অ্যাপ্লিকেশনটি যে পদ্ধতিতে অনুমোদনের প্রতিক্রিয়া গ্রহণ করে, তা নির্ভর করে এটি যে রিডাইরেক্ট ইউআরআই স্কিম ব্যবহার করে তার উপর। স্কিম নির্বিশেষে, প্রতিক্রিয়াটিতে একটি অনুমোদন কোড ( code ) অথবা একটি ত্রুটি ( error ) থাকবে। উদাহরণস্বরূপ, error=access_denied নির্দেশ করে যে ব্যবহারকারী অনুরোধটি প্রত্যাখ্যান করেছেন।

যদি ব্যবহারকারী আপনার অ্যাপ্লিকেশনে অ্যাক্সেসের অনুমতি দেন, তাহলে আপনি পরবর্তী ধাপে বর্ণিত পদ্ধতি অনুযায়ী অথরাইজেশন কোডটির বিনিময়ে একটি অ্যাক্সেস টোকেন এবং একটি রিফ্রেশ টোকেন পেতে পারেন।

ধাপ ৫: রিফ্রেশ এবং অ্যাক্সেস টোকেনের জন্য অনুমোদন কোড বিনিময় করুন

অনুমোদন কোডের বিনিময়ে অ্যাক্সেস টোকেন পেতে, https://oauth2.googleapis.com/token এন্ডপয়েন্টটি কল করুন এবং নিম্নলিখিত প্যারামিটারগুলো সেট করুন:

যদিও DPoP-এর ব্যবহার ঐচ্ছিক, বর্ধিত নিরাপত্তার জন্য এটি সুপারিশ করা হয়। DPoP-এর নিরাপত্তা নির্ভর করে প্রাইভেট কী-টি একটিমাত্র ডিভাইসে সীমাবদ্ধ থাকার উপর; আমরা এটিকে এমনভাবে সংরক্ষণ করার সুপারিশ করি যাতে এটি ডিভাইস থেকে বাইরে কপি করা না যায়, উদাহরণস্বরূপ TPM, Secure Enclave, বা অন্যান্য হার্ডওয়্যার-সমর্থিত কীস্টোর ব্যবহার করে। DPoP ব্যবহার করার জন্য, আপনার অ্যাপ্লিকেশনকে টোকেন এন্ডপয়েন্টে প্রতিটি অনুরোধের জন্য একটি নতুন, অনন্য DPoP প্রুফ JWT তৈরি করতে হবে এবং এটিকে একটি HTTP অনুরোধ হেডার হিসাবে যুক্ত করতে হবে।

নিম্নলিখিত কোড স্নিপেটটি একটি নমুনা অনুরোধ দেখাচ্ছে:

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded
DPoP: eyJ0eXAiOiJkcG9wK2p3dCIsImFsZyI6IkVTMjU2IiwiandrIjp7Imt0eSI6Ik\
 VDIiwieCI6Imw4dEZyaHgtMzR0VjNoUklDUkRZOXpDa0RscEJoRjQyVVFVZldWQVdCR\
 nMiLCJ5IjoiOVZFNGpmX09rX282NHpiVFRsY3VOSmFqSG10NnY5VERWclUwQ2R2R1JE\
 QSIsImNydiI6IlAtMjU2In19.eyJqdGkiOiItQndDM0VTYzZhY2MybFRjIiwiaHRtIj\
 oiUE9TVCIsImh0dSI6Imh0dHBzOi8vc2VydmVyLmV4YW1wbGUuY29tL3Rva2VuIiwia\
 WF0IjoxNTYyMjYyNjE2fQ.2-GxA6T8lP4vfrg8v-FdWP0A0zdrj8igiMLvqRMUvwnQg\
 4PtFLbdLXiOSsX0x7NVY-FNyJK70nfbV37xRZT3Lg

code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7&
client_id=your_client_id&
redirect_uri=http://127.0.0.1:9004&
grant_type=authorization_code

একটি DPoP প্রমাণ তৈরি করুন

নিম্নলিখিত ধাপগুলিতে দেখানো হয়েছে কিভাবে কমান্ড লাইন থেকে OpenSSL ব্যবহার করে একটি DPoP প্রুফ তৈরি করা যায়:

1. একটি EC P-256 কী পেয়ার তৈরি করুন:

   openssl ecparam -name prime256v1 -genkey -noout -out dpop_private.pem
   openssl ec -in dpop_private.pem -pubout -out dpop_public.pem

2. DPoP হেডার তৈরি করুন:

   হেডারে অবশ্যই typ , alg , এবং jwk (পাবলিক কী) ক্লেইমগুলো অন্তর্ভুক্ত থাকতে হবে। x এবং y ভ্যালুগুলো হলো আপনার EC পাবলিক কী-এর Base64Url-এনকোডেড স্থানাঙ্ক। এই JSON-টিকে Base64Url এনকোড করুন:

   {
     "typ":"dpop+jwt",
     "alg":"ES256",
     "jwk": {
       "kty":"EC",
       "x":"YOUR_PUBLIC_KEY_X",
       "y":"YOUR_PUBLIC_KEY_Y",
       "crv":"P-256"
     }
   }

3. DPoP পেলোড তৈরি করুন:

   পেলোডে অবশ্যই jti (অনুরোধের জন্য একটি অনন্য শনাক্তকারী), htm (HTTP পদ্ধতি, যেমন, POST ), htu (HTTP URI, যেমন, https://oauth2.googleapis.com/token ), এবং iat (ইস্যু করার সময়) অন্তর্ভুক্ত থাকতে হবে। যদি আপনি পূর্ববর্তী কোনো অনুরোধের প্রতিক্রিয়ায় DPoP-Nonce হেডারে সার্ভার থেকে একটি ননস (nonce) পেয়ে থাকেন, তবে আপনাকে অবশ্যই সেই ননস মানটি একটি nonce ক্লেইমে অন্তর্ভুক্ত করতে হবে। অথরাইজেশন কোড বিনিময়ের জন্য ননস ক্লেইমটি ঐচ্ছিক এবং এটি শুধুমাত্র তখনই ব্যবহৃত হয় যখন পূর্বে DPoP-Nonce হেডারটি পাওয়া গিয়েছিল। এই JSON-টিকে Base64Url এনকোড করুন:

   {
     "jti":"JTI_VALUE",
     "htm":"POST",
     "htu":"https://oauth2.googleapis.com/token",
     "iat":YOUR_JWT_ISSUED_TIME,
     "nonce":"SERVER_PROVIDED_NONCE"
   }

   jti এর মান বিনিময়ের ধরনের উপর নির্ভর করে:

   • অনুমোদন কোড বিনিময়ের ক্ষেত্রে, jti অবশ্যই অনুমোদন কোডের Base64Url-এনকোডেড SHA256 হ্যাশ হতে হবে: "jti":" BASE64URL(SHA256(AUTHORIZATION_CODE)) " ।
   • রিফ্রেশ টোকেন বিনিময়ের ক্ষেত্রে, jti অবশ্যই প্রতিটি অনুরোধের জন্য একটি অনন্য শনাক্তকারী হতে হবে: "jti":" YOUR_UNIQUE_PER_REQUEST_IDENTIFIER " ।
4. প্রমাণে স্বাক্ষর করুন:

   এনকোড করা হেডার এবং পেলোডকে একটি পিরিয়ড ( . ) দিয়ে যুক্ত করুন, তারপর আপনার প্রাইভেট কী ব্যবহার করে ES256 দিয়ে ফলাফলটিতে স্বাক্ষর করুন। মনে রাখবেন যে JWS-এর জন্য স্বাক্ষরটি একটি র R | S সংযুক্ত ফরম্যাটে (P-256-এর জন্য ৬৪ বাইট) থাকতে হবে। যদি সরাসরি OpenSSL ব্যবহার করেন, তবে আপনাকে অবশ্যই ডিফল্ট ASN.1 DER-এনকোডেড স্বাক্ষরটিকে এই র ফরম্যাটে রূপান্তর করতে হবে।

টোকেন সম্বলিত একটি 200 OK রেসপন্স দ্বারা একটি সফল এক্সচেঞ্জ নির্দেশিত হয়। যদি এক্সচেঞ্জের সময় একটি বৈধ DPoP প্রুফ ব্যবহার করা হয়, তাহলে Google যে রিফ্রেশ টোকেনটি ফেরত দেবে তা আপনার কী-এর সাথে DPoP-বাউন্ড হবে, কিন্তু অ্যাক্সেস টোকেনগুলো DPoP-বাউন্ড হবে না। অ্যাক্সেস টোকেনগুলো DPoP পরিবর্তে Bearer এর token_type বজায় রাখবে। এছাড়াও, Google রেসপন্সে একটি DPoP-Nonce HTTP হেডার ফেরত দেয়। আপনার ক্লায়েন্টকে অবশ্যই এই নন্সটি ক্যাশ করতে হবে এবং পরবর্তী অনুরোধগুলোতে (যেমন একটি রিফ্রেশ টোকেনের বিনিময়ে নতুন অ্যাক্সেস টোকেন আদান-প্রদান করার সময়, বা DPoP-সুরক্ষিত API কল করার সময়) DPoP প্রুফের nonce ক্লেইমে এটি অন্তর্ভুক্ত করতে হবে। আগে থেকে ইস্যু করা এই নন্সটি ব্যবহার করে, আপনি আপনার পরবর্তী অনুরোধে একটি অতিরিক্ত রাউন্ড-ট্রিপ ব্যর্থতা ( use_dpop_nonce ) এড়াতে পারবেন।

DPoP-বাউন্ড রিফ্রেশ টোকেন ব্যবহার করে করা টোকেন বিনিময়ের অনুরোধের সাথে অবশ্যই DPoP প্রুফ অন্তর্ভুক্ত করতে হবে।

যদি প্রত্যাশিতভাবে DPoP হেডারটি অনুপস্থিত থাকে, অবৈধ হয়, অথবা প্রুফটি টোকেনের সাথে আবদ্ধ কী-এর চেয়ে ভিন্ন কোনো কী ব্যবহার করে, তাহলে একটি এক্সচেঞ্জ ব্যর্থ হয়। এই ক্ষেত্রে, সার্ভার একটি 400 Bad Request এরর রিটার্ন করে। যদি DPoP প্রুফে অমিল htm বা htu ক্লেইম থাকে, একটি মেয়াদোত্তীর্ণ iat , একটি পুনঃব্যবহৃত jti থাকে, অথবা একটি অবৈধ সিগনেচার থাকে, তাহলে Google একটি invalid_dpop_proof এরর কোড রিটার্ন করে। যদি একটি DPoP nonce-এর প্রয়োজন হয়, যেমন একটি রিফ্রেশ টোকেন এক্সচেঞ্জের সময়, এবং DPoP প্রুফে কোনো nonce ক্লেইম অনুপস্থিত থাকে, অথবা nonce-এর মান সার্ভারের কাছে অগ্রহণযোগ্য হয় (যেমন, এটি মেয়াদোত্তীর্ণ, ইতিমধ্যে ব্যবহৃত, বা ভুল), তাহলে Google একটি use_dpop_nonce এরর কোডের সাথে একটি DPoP-Nonce HTTP হেডার রিটার্ন করে, যাতে একটি নতুন nonce থাকে যা আপনি পরবর্তী অনুরোধে ব্যবহার করতে পারেন। অন্যান্য ব্যর্থতার ক্ষেত্রে invalid_grant রিটার্ন হতে পারে।

এই অনুরোধের জবাবে গুগল একটি JSON অবজেক্ট ফেরত পাঠায়, যেটিতে একটি স্বল্পস্থায়ী অ্যাক্সেস টোকেন এবং একটি রিফ্রেশ টোকেন থাকে।

প্রতিক্রিয়াটিতে নিম্নলিখিত ক্ষেত্রগুলি রয়েছে:

নিম্নলিখিত কোড স্নিপেটটি DPoP ব্যবহারের ক্ষেত্রে একটি সফল প্রতিক্রিয়ার হেডার এবং বডির নমুনা দেখায়:

HTTP/1.1 200 OK
Content-Type: application/json; charset=utf-8
DPoP-Nonce: AN3XwJjZsjnb0ZuWkRlek8QU7wY-Zhf-5IP6tO0tORz0KgtDT1Bo8FX-w4nz3r5lnepI

{
  "access_token": "1/fFAGRNJru1FTz70BzhT3Zg",
  "expires_in": 3920,
  "token_type": "Bearer",
  "scope": "https://www.googleapis.com/auth/youtube.force-ssl",
  "refresh_token": "1//xEoDL4iW3cxlI7yDbSRFYNG01kVKM2C-259HOF2aQbI"
}

ধাপ ৬: ব্যবহারকারীরা কোন কোন স্কোপ মঞ্জুর করেছেন তা যাচাই করুন

একাধিক অনুমতি (স্কোপ) অনুরোধ করার সময়, ব্যবহারকারীরা আপনার অ্যাপকে সেগুলোর সবগুলোতে অ্যাক্সেস নাও দিতে পারেন। আপনার অ্যাপকে অবশ্যই যাচাই করতে হবে যে কোন স্কোপগুলো আসলে মঞ্জুর করা হয়েছে এবং কিছু অনুমতি প্রত্যাখ্যান করা হলে পরিস্থিতিটি সুষ্ঠুভাবে সামাল দিতে হবে; সাধারণত, সেই প্রত্যাখ্যান করা স্কোপগুলোর উপর নির্ভরশীল ফিচারগুলোকে নিষ্ক্রিয় করার মাধ্যমে এটি করা হয়।

তবে, এর ব্যতিক্রমও আছে। যেসব গুগল ওয়ার্কস্পেস এন্টারপ্রাইজ অ্যাপে ডোমেন-ব্যাপী কর্তৃত্ব অর্পণ করা আছে, অথবা যেগুলোকে 'বিশ্বস্ত' (Trusted) হিসেবে চিহ্নিত করা হয়েছে, সেগুলো সুনির্দিষ্ট অনুমতির সম্মতি স্ক্রিনটি এড়িয়ে যায়। এই অ্যাপগুলোর ক্ষেত্রে, ব্যবহারকারীরা সুনির্দিষ্ট অনুমতির সম্মতি স্ক্রিনটি দেখতে পাবেন না। এর পরিবর্তে, আপনার অ্যাপটি হয় অনুরোধ করা সমস্ত স্কোপ পাবে, অথবা কোনোটিই পাবে না।

আরও বিস্তারিত তথ্যের জন্য, কীভাবে সূক্ষ্ম অনুমতি পরিচালনা করতে হয় তা দেখুন।

ব্যবহারকারী আপনার অ্যাপ্লিকেশনকে কোনো নির্দিষ্ট স্কোপে অ্যাক্সেস দিয়েছেন কিনা তা যাচাই করতে, অ্যাক্সেস টোকেন রেসপন্সের scope ফিল্ডটি পরীক্ষা করুন। অ্যাক্সেস_টোকেন দ্বারা প্রদত্ত অ্যাক্সেসের স্কোপগুলো স্পেস দ্বারা বিভক্ত এবং কেস-সেনসিটিভ স্ট্রিংয়ের একটি তালিকা হিসাবে প্রকাশ করা হয়।

উদাহরণস্বরূপ, নিম্নলিখিত নমুনা অ্যাক্সেস টোকেন প্রতিক্রিয়াটি নির্দেশ করে যে ব্যবহারকারী আপনার অ্যাপ্লিকেশনকে তার ইউটিউব ভিডিও, রেটিং, মন্তব্য এবং ক্যাপশন দেখতে, সম্পাদনা করতে এবং স্থায়ীভাবে মুছে ফেলার অনুমতি দিয়েছেন:

  {
    "access_token": "1/fFAGRNJru1FTz70BzhT3Zg",
    "expires_in": 3920,
    "token_type": "Bearer",
    "scope": "https://www.googleapis.com/auth/youtube.force-ssl",
    "refresh_token": "1//xEoDL4iW3cxlI7yDbSRFYNG01kVKM2C-259HOF2aQbI"
  }

গুগল এপিআই কল করুন

আপনার অ্যাপ্লিকেশন একটি অ্যাক্সেস টোকেন পাওয়ার পর, যদি এপিআই-এর জন্য প্রয়োজনীয় অ্যাক্সেসের সুযোগ(গুলি) মঞ্জুর করা হয়ে থাকে, তবে আপনি একটি নির্দিষ্ট ব্যবহারকারী অ্যাকাউন্টের পক্ষ থেকে একটি গুগল এপিআই-তে কল করার জন্য টোকেনটি ব্যবহার করতে পারেন। এটি করার জন্য, এপিআই-তে করা অনুরোধে একটি access_token কোয়েরি প্যারামিটার অথবা একটি Authorization HTTP হেডার Bearer ভ্যালু অন্তর্ভুক্ত করে অ্যাক্সেস টোকেনটি যোগ করুন। যখন সম্ভব, HTTP হেডার ব্যবহার করা শ্রেয়, কারণ কোয়েরি স্ট্রিংগুলো সার্ভার লগে দৃশ্যমান হওয়ার প্রবণতা থাকে। বেশিরভাগ ক্ষেত্রে আপনি গুগল এপিআই-তে আপনার কলগুলো সেট আপ করার জন্য একটি ক্লায়েন্ট লাইব্রেরি ব্যবহার করতে পারেন (উদাহরণস্বরূপ, ইউটিউব ডেটা এপিআই-তে কল করার সময়)।

উল্লেখ্য যে, ইউটিউব ডেটা এপিআই শুধুমাত্র সেইসব ইউটিউব কন্টেন্ট মালিকদের সার্ভিস অ্যাকাউন্ট সমর্থন করে, যারা একাধিক ইউটিউব চ্যানেলের মালিক ও পরিচালক, যেমন রেকর্ড লেবেল এবং মুভি স্টুডিও।

আপনি OAuth 2.0 প্লেগ্রাউন্ডে সমস্ত গুগল এপিআই ব্যবহার করে দেখতে এবং সেগুলোর পরিধি দেখতে পারেন।

HTTP GET উদাহরণ

Authorization: Bearer HTTP হেডার ব্যবহার করে youtube.channels এন্ডপয়েন্টে (ইউটিউব ডেটা এপিআই) করা একটি কল নিচের মতো দেখতে হতে পারে। মনে রাখবেন, আপনাকে আপনার নিজস্ব অ্যাক্সেস টোকেন উল্লেখ করতে হবে:

GET /youtube/v3/channels?part=snippet&mine=true HTTP/1.1
Host: www.googleapis.com
Authorization: Bearer access_token

এখানে access_token কোয়েরি স্ট্রিং প্যারামিটার ব্যবহার করে প্রমাণীকৃত ব্যবহারকারীর জন্য একই API-তে একটি কল দেওয়া হলো:

GET https://www.googleapis.com/youtube/v3/channels?access_token=access_token&part=snippet&mine=true

curl উদাহরণ

আপনি curl কমান্ড-লাইন অ্যাপ্লিকেশন দিয়ে এই কমান্ডগুলো পরীক্ষা করতে পারেন। এখানে একটি উদাহরণ দেওয়া হলো যেখানে HTTP হেডার অপশন (পছন্দনীয়) ব্যবহার করা হয়েছে:

curl -H "Authorization: Bearer access_token" https://www.googleapis.com/youtube/v3/channels?part=snippet&mine=true

অথবা, বিকল্পভাবে, কোয়েরি স্ট্রিং প্যারামিটার বিকল্পটি:

curl https://www.googleapis.com/youtube/v3/channels?access_token=access_token&part=snippet&mine=true

একটি অ্যাক্সেস টোকেন রিফ্রেশ করুন

অ্যাক্সেস টোকেন পর্যায়ক্রমে মেয়াদোত্তীর্ণ হয়ে যায় এবং সংশ্লিষ্ট API অনুরোধের জন্য অকার্যকর ক্রেডেনশিয়াল হয়ে পড়ে। যদি আপনি টোকেনটির সাথে যুক্ত স্কোপগুলিতে অফলাইন অ্যাক্সেসের অনুরোধ করে থাকেন, তবে ব্যবহারকারীর অনুমতি না চেয়েই (এমনকি ব্যবহারকারী উপস্থিত না থাকলেও) আপনি অ্যাক্সেস টোকেনটি রিফ্রেশ করতে পারেন।

অ্যাক্সেস টোকেন রিফ্রেশ করতে, আপনার অ্যাপ্লিকেশনটি গুগলের অথরাইজেশন সার্ভারে ( https://oauth2.googleapis.com/token ) একটি HTTPS POST রিকোয়েস্ট পাঠায়, যার রিকোয়েস্ট বডিতে নিম্নলিখিত প্যারামিটারগুলো অন্তর্ভুক্ত থাকে: