استخدام OAuth 2.0 لتطبيقات خادم الويب

PHP

لتشغيل نماذج رمز PHP في هذا المستند، ستحتاج إلى ما يلي:

• الإصدار 8.0 من PHP أو إصدار أحدث مع تثبيت واجهة سطر الأوامر (CLI) وإضافة JSON
• أداة إدارة التبعية Composer

• مكتبة برامج Google APIs للغة PHP:

  composer require google/apiclient:^2.15.0

لمزيد من المعلومات، يمكنك الاطّلاع على مكتبة برامج Google APIs للغة PHP.

Python

لتشغيل نماذج رموز Python البرمجية في هذا المستند، ستحتاج إلى ما يلي:

• الإصدار 3.7 أو الإصدارات الأحدث من Python
• أداة إدارة الحِزم pip
• إصدار 2.0 من Google APIs Client Library للغة Python:

  pip install --upgrade google-api-python-client

• google-auth وgoogle-auth-oauthlib وgoogle-auth-httplib2 لتفويض المستخدم.

  pip install --upgrade google-auth google-auth-oauthlib google-auth-httplib2

• إطار عمل تطبيق الويب Flask Python

  pip install --upgrade flask

• مكتبة HTTP التي تتضمّن العنصر requests

  pip install --upgrade requests

راجِع ملاحظات الإصدار الخاصة بمكتبة برامج Google API Python إذا لم تتمكّن من ترقية Python ودليل النقل المرتبط بها.

Ruby

لتشغيل نماذج رموز Ruby البرمجية في هذا المستند، ستحتاج إلى:

• الإصدار 2.6 من Ruby أو إصدار أحدث

• مكتبة Google Auth للغة Ruby:

  gem install googleauth

• إطار عمل تطبيق الويب Sinatra Ruby

  gem install sinatra

Node.js

لتنفيذ عيّنات رمز Node.js في هذا المستند، ستحتاج إلى:

• إصدار الصيانة للدعم طويل الأمد (LTS) أو الإصدار النشط للدعم طويل الأمد (LTS) أو الإصدار الحالي من Node.js.

• عميل Google APIs Node.js:

  npm install googleapis crypto express express-session

HTTP/REST

لست بحاجة إلى تثبيت أي مكتبات لتتمكّن من طلب نقاط نهاية OAuth 2.0 مباشرةً.

PHP

ينشئ مقتطف الرمز البرمجي التالي عنصر Google\Client()، الذي يحدّد المَعلمات في طلب التفويض.

يستخدم هذا العنصر معلومات من ملف client_secret.json لتحديد تطبيقك. (يمكنك الاطّلاع على إنشاء بيانات اعتماد التفويض للحصول على مزيد من المعلومات حول هذا الملف). يحدّد العنصر أيضًا النطاقات التي يطلب تطبيقك الإذن بالوصول إليها وعنوان URL لنقطة نهاية المصادقة في تطبيقك، والتي ستتعامل مع الردّ من خادم OAuth 2.0 من Google. أخيرًا، يضبط الرمز المَعلمتَين الاختياريتَين access_type وinclude_granted_scopes.

على سبيل المثال، يطلب هذا الرمز البرمجي إذن الوصول بلا إنترنت لإدارة حساب مستخدم على YouTube:

use Google\Client;

$client = new Client();

// Required, call the setAuthConfig function to load authorization credentials from
// client_secret.json file.
$client->setAuthConfig('client_secret.json');

// Required, to set the scope value, call the addScope function
$client->addScope(GOOGLE_SERVICE_YOUTUBE::YOUTUBE_FORCE_SSL);

// Required, call the setRedirectUri function to specify a valid redirect URI for the
// provided client_id
$client->setRedirectUri('http://' . $_SERVER['HTTP_HOST'] . '/oauth2callback.php');

// Recommended, offline access will give you both an access and refresh token so that
// your app can refresh the access token without user interaction.
$client->setAccessType('offline');

// Recommended, call the setState function. Using a state value can increase your assurance that
// an incoming connection is the result of an authentication request.
$client->setState($sample_passthrough_value);

// Optional, if your application knows which user is trying to authenticate, it can use this
// parameter to provide a hint to the Google Authentication Server.
$client->setLoginHint('hint@example.com');

// Optional, call the setPrompt function to set "consent" will prompt the user for consent
$client->setPrompt('consent');

// Optional, call the setIncludeGrantedScopes function with true to enable incremental
// authorization
$client->setIncludeGrantedScopes(true);

Python

يستخدم مقتطف الرمز التالي الوحدة google-auth-oauthlib.flow لإنشاء طلب التفويض.

تنشئ الشفرة عنصر Flow، الذي يحدّد تطبيقك باستخدام معلومات من ملف client_secret.json الذي نزّلته بعد إنشاء بيانات اعتماد التفويض. يحدّد هذا العنصر أيضًا النطاقات التي يطلب تطبيقك الإذن بالوصول إليها وعنوان URL لنقطة نهاية المصادقة في تطبيقك، والتي ستتعامل مع الردّ من خادم OAuth 2.0 من Google. أخيرًا، يضبط الرمز المَعلمتَين الاختياريتَين access_type وinclude_granted_scopes.

على سبيل المثال، يطلب هذا الرمز البرمجي إذن الوصول بلا إنترنت لإدارة حساب مستخدم على YouTube:

import google.oauth2.credentials
import google_auth_oauthlib.flow

# Required, call the from_client_secrets_file method to retrieve the client ID from a
# client_secret.json file. The client ID (from that file) and access scopes are required. (You can
# also use the from_client_config method, which passes the client configuration as it originally
# appeared in a client secrets file but doesn't access the file itself.)
flow = google_auth_oauthlib.flow.Flow.from_client_secrets_file('client_secret.json',
    scopes=['https://www.googleapis.com/auth/youtube.force-ssl'])

# Required, indicate where the API server will redirect the user after the user completes
# the authorization flow. The redirect URI is required. The value must exactly
# match one of the authorized redirect URIs for the OAuth 2.0 client, which you
# configured in the API Console. If this value doesn't match an authorized URI,
# you will get a 'redirect_uri_mismatch' error.
flow.redirect_uri = 'https://www.example.com/oauth2callback'

# Generate URL for request to Google's OAuth 2.0 server.
# Use kwargs to set optional request parameters.
authorization_url, state = flow.authorization_url(
    # Recommended, enable offline access so that you can refresh an access token without
    # re-prompting the user for permission. Recommended for web server apps.
    access_type='offline',
    # Optional, enable incremental authorization. Recommended as a best practice.
    include_granted_scopes='true',
    # Optional, if your application knows which user is trying to authenticate, it can use this
    # parameter to provide a hint to the Google Authentication Server.
    login_hint='hint@example.com',
    # Optional, set prompt to 'consent' will prompt the user for consent
    prompt='consent')

Ruby

استخدِم ملف client_secrets.json الذي أنشأته لإعداد عنصر عميل في تطبيقك. عند ضبط عنصر العميل، عليك تحديد النطاقات التي يحتاج تطبيقك إلى الوصول إليها، بالإضافة إلى عنوان URL لنقطة نهاية المصادقة في تطبيقك، والتي ستتعامل مع الردّ من خادم OAuth 2.0.

على سبيل المثال، يطلب هذا الرمز البرمجي إذن الوصول بلا إنترنت لإدارة حساب مستخدم على YouTube:

require 'googleauth'
require 'googleauth/web_user_authorizer'
require 'googleauth/stores/redis_token_store'

require 'google/apis/youtube_v3'

# Required, call the from_file method to retrieve the client ID from a
# client_secret.json file.
client_id = Google::Auth::ClientId.from_file('/path/to/client_secret.json')

# Required, scope value 
scope = 'https://www.googleapis.com/auth/youtube.force-ssl'

# Required, Authorizers require a storage instance to manage long term persistence of
# access and refresh tokens.
token_store = Google::Auth::Stores::RedisTokenStore.new(redis: Redis.new)

# Required, indicate where the API server will redirect the user after the user completes
# the authorization flow. The redirect URI is required. The value must exactly
# match one of the authorized redirect URIs for the OAuth 2.0 client, which you
# configured in the API Console. If this value doesn't match an authorized URI,
# you will get a 'redirect_uri_mismatch' error.
callback_uri = '/oauth2callback'

# To use OAuth2 authentication, we need access to a CLIENT_ID, CLIENT_SECRET, AND REDIRECT_URI
# from the client_secret.json file. To get these credentials for your application, visit
# https://console.cloud.google.com/apis/credentials.
authorizer = Google::Auth::WebUserAuthorizer.new(client_id, scope,
                                                token_store, callback_uri)

يستخدم تطبيقك عنصر العميل لتنفيذ عمليات OAuth 2.0، مثل إنشاء عناوين URL لطلبات التفويض وتطبيق رموز الدخول على طلبات HTTP.

Node.js

ينشئ مقتطف الرمز البرمجي التالي عنصر google.auth.OAuth2، الذي يحدّد المَعلمات في طلب التفويض.

يستخدم هذا العنصر معلومات من ملف client_secret.json لتحديد تطبيقك. لطلب أذونات من مستخدم لاسترداد رمز دخول، عليك إعادة توجيهه إلى صفحة موافقة. لإنشاء عنوان URL لصفحة الموافقة، اتّبِع الخطوات التالية:

const {google} = require('googleapis');
const crypto = require('crypto');
const express = require('express');
const session = require('express-session');

/**
 * To use OAuth2 authentication, we need access to a CLIENT_ID, CLIENT_SECRET, AND REDIRECT_URI
 * from the client_secret.json file. To get these credentials for your application, visit
 * https://console.cloud.google.com/apis/credentials.
 */
const oauth2Client = new google.auth.OAuth2(
  YOUR_CLIENT_ID,
  YOUR_CLIENT_SECRET,
  YOUR_REDIRECT_URL
);

// Access scopes for YouTube API
const scopes = [
  'https://www.googleapis.com/auth/youtube.force-ssl'
];

// Generate a secure random state value.
const state = crypto.randomBytes(32).toString('hex');

// Store state in the session
req.session.state = state;

// Generate a url that asks permissions for the Drive activity and Google Calendar scope
const authorizationUrl = oauth2Client.generateAuthUrl({
  // 'online' (default) or 'offline' (gets refresh_token)
  access_type: 'offline',
  /** Pass in the scopes array defined above.
    * Alternatively, if only one scope is needed, you can pass a scope URL as a string */
  scope: scopes,
  // Enable incremental authorization. Recommended as a best practice.
  include_granted_scopes: true,
  // Include the state parameter to reduce the risk of CSRF attacks.
  state: state
});

ملاحظة مهمة - لا يتم عرض refresh_token إلا عند إجراء عملية التفويض الأولى. يمكنك الاطّلاع على مزيد من التفاصيل هنا.

HTTP/REST

تتوفّر نقطة نهاية OAuth 2.0 من Google على https://accounts.google.com/o/oauth2/v2/auth. لا يمكن الوصول إلى نقطة النهاية هذه إلا عبر HTTPS. يتم رفض اتصالات HTTP العادية.

PHP

1. إنشاء عنوان URL لطلب الوصول من خادم OAuth 2.0 من Google:

   $auth_url = $client->createAuthUrl();

2. إعادة توجيه المستخدم إلى $auth_url:

   header('Location: ' . filter_var($auth_url, FILTER_SANITIZE_URL));

Python

يوضّح هذا المثال كيفية إعادة توجيه المستخدم إلى عنوان URL الخاص بالتفويض باستخدام إطار عمل تطبيق الويب Flask:

return flask.redirect(authorization_url)

Ruby

1. إنشاء عنوان URL لطلب الوصول من خادم OAuth 2.0 من Google:

   auth_uri = authorizer.get_authorization_url(request: request)

2. إعادة توجيه المستخدم إلى auth_uri

Node.js

1. استخدِم عنوان URL الذي تم إنشاؤه authorizationUrl من طريقة الخطوة 1 generateAuthUrl لطلب الوصول من خادم OAuth 2.0 التابع لـ Google.
2. إعادة توجيه المستخدم إلى authorizationUrl

   res.redirect(authorizationUrl);

HTTP/REST

مثال على إعادة التوجيه إلى خادم التفويض في Google

يطلب نموذج عنوان URL أدناه إذن الوصول بلا إنترنت (access_type=offline) إلى نطاق يسمح بالوصول إلى حساب المستخدم على YouTube وعرضه. يستخدم هذا النوع من الرموز التفويض المتزايد لضمان أن يغطي رمز الدخول الجديد أي نطاقات سبق أن منح المستخدم التطبيق إذن الوصول إليها. يحدّد عنوان URL أيضًا قيمًا للمعلمات المطلوبة redirect_uri وresponse_type وclient_id، بالإضافة إلى المعلمة state. يحتوي عنوان URL على فواصل أسطر ومسافات لتسهيل قراءته.

https://accounts.google.com/o/oauth2/v2/auth?
 scope=https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fyoutube.readonly&
 access_type=offline&
 include_granted_scopes=true&
 state=state_parameter_passthrough_value&
 redirect_uri=http%3A%2F%2Flocalhost%2Foauth2callback&
 response_type=code&
 client_id=client_id

بعد إنشاء عنوان URL للطلب، أعِد توجيه المستخدم إليه.

PHP

لتبديل رمز تفويض برمز دخول، استخدِم طريقة fetchAccessTokenWithAuthCode:

$access_token = $client->fetchAccessTokenWithAuthCode($_GET['code']);

Python

في صفحة معاودة الاتصال، استخدِم مكتبة google-auth للتحقّق من ردّ خادم التفويض. بعد ذلك، استخدِم طريقة flow.fetch_token لتبديل رمز التفويض في تلك الاستجابة برمز دخول:

state = flask.session['state']
flow = google_auth_oauthlib.flow.Flow.from_client_secrets_file(
    'client_secret.json',
    scopes=['https://www.googleapis.com/auth/youtube.force-ssl'],
    state=state)
flow.redirect_uri = flask.url_for('oauth2callback', _external=True)

authorization_response = flask.request.url
flow.fetch_token(authorization_response=authorization_response)

# Store the credentials in browser session storage, but for security: client_id, client_secret,
# and token_uri are instead stored only on the backend server.
credentials = flow.credentials
flask.session['credentials'] = {
    'token': credentials.token,
    'refresh_token': credentials.refresh_token,
    'granted_scopes': credentials.granted_scopes}

Ruby

في صفحة معاودة الاتصال، استخدِم مكتبة googleauth للتحقّق من ردّ خادم التفويض. استخدِم طريقة authorizer.handle_auth_callback_deferred لحفظ رمز التفويض وإعادة التوجيه إلى عنوان URL الذي طلب التفويض في الأصل. يؤجّل هذا الإجراء تبادل الرمز من خلال تخزين النتائج مؤقتًا في جلسة المستخدم.

  target_url = Google::Auth::WebUserAuthorizer.handle_auth_callback_deferred(request)
  redirect target_url

Node.js

لتبديل رمز تفويض برمز دخول، استخدِم طريقة getToken:

const url = require('url');

// Receive the callback from Google's OAuth 2.0 server.
app.get('/oauth2callback', async (req, res) => {
  let q = url.parse(req.url, true).query;

  if (q.error) { // An error response e.g. error=access_denied
    console.log('Error:' + q.error);
  } else if (q.state !== req.session.state) { //check state value
    console.log('State mismatch. Possible CSRF attack');
    res.end('State mismatch. Possible CSRF attack');
  } else { // Get access and refresh tokens (if access_type is offline)

    let { tokens } = await oauth2Client.getToken(q.code);
    oauth2Client.setCredentials(tokens);
});

HTTP/REST

لتبديل رمز تفويض برمز دخول، عليك استدعاء نقطة النهاية https://oauth2.googleapis.com/token وضبط المَعلمات التالية:

على الرغم من أنّ استخدام DPoP اختياري، ننصح به لزيادة الأمان. يعتمد أمان DPoP على حصر المفتاح الخاص بجهاز واحد، وننصح بتخزينه بطريقة لا يمكن نسخها من الجهاز، مثلاً باستخدام وحدات TPM أو Secure Enclaves أو غيرها من مخازن المفاتيح المستنِدة إلى الأجهزة. لاستخدام DPoP، يجب أن ينشئ تطبيقك رمز JWT جديدًا وفريدًا لإثبات DPoP لكل طلب يتم إرساله إلى نقطة نهاية الرمز المميز، وأن يضيفه كعنوان طلب HTTP.

يعرض المقتطف التالي نموذجًا لطلب:

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded
DPoP: eyJ0eXAiOiJkcG9wK2p3dCIsImFsZyI6IkVTMjU2IiwiandrIjp7Imt0eSI6Ik\
 VDIiwieCI6Imw4dEZyaHgtMzR0VjNoUklDUkRZOXpDa0RscEJoRjQyVVFVZldWQVdCR\
 nMiLCJ5IjoiOVZFNGpmX09rX282NHpiVFRsY3VOSmFqSG10NnY5VERWclUwQ2R2R1JE\
 QSIsImNydiI6IlAtMjU2In19.eyJqdGkiOiItQndDM0VTYzZhY2MybFRjIiwiaHRtIj\
 oiUE9TVCIsImh0dSI6Imh0dHBzOi8vc2VydmVyLmV4YW1wbGUuY29tL3Rva2VuIiwia\
 WF0IjoxNTYyMjYyNjE2fQ.2-GxA6T8lP4vfrg8v-FdWP0A0zdrj8igiMLvqRMUvwnQg\
 4PtFLbdLXiOSsX0x7NVY-FNyJK70nfbV37xRZT3Lg

code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7&
client_id=your_client_id&
redirect_uri=https%3A//developers.google.com/oauthplayground&
grant_type=authorization_code

إنشاء مستند إثبات DPoP

توضّح الخطوات التالية كيفية إنشاء مستند إثبات DPoP باستخدام OpenSSL من سطر الأوامر:

1. إنشاء مفتاحَي تشفير EC P-256:

   openssl ecparam -name prime256v1 -genkey -noout -out dpop_private.pem
   openssl ec -in dpop_private.pem -pubout -out dpop_public.pem

2. إنشاء عنوان DPoP:

   يجب أن يتضمّن العنوان المطالبات typ وalg وjwk (المفتاح العام). قيمة x وy هي إحداثيات المفتاح العام لمنحنى القطع الناقص (EC) بترميز Base64Url. استخدِم ترميز Base64Url في JSON التالي:

   {
     "typ":"dpop+jwt",
     "alg":"ES256",
     "jwk": {
       "kty":"EC",
       "x":"YOUR_PUBLIC_KEY_X",
       "y":"YOUR_PUBLIC_KEY_Y",
       "crv":"P-256"
     }
   }

3. إنشاء حمولة DPoP:

   يجب أن تتضمّن الحمولة jti (معرّفًا فريدًا للطلب) وhtm (طريقة HTTP، مثل POST) وhtu (معرّف الموارد المنتظم (URI) لبروتوكول HTTP، مثل https://oauth2.googleapis.com/token) وiat (وقت الإصدار). إذا تلقّيت قيمة nonce من الخادم في عنوان DPoP-Nonce ضمن الاستجابة لطلب سابق، عليك تضمين قيمة nonce هذه في مطالبة nonce. إنّ مطالبة nonce اختيارية لعمليات تبادل رموز التفويض، ولا يتم استخدامها إلا عند تلقّي عنوان DPoP-Nonce سابقًا. استخدِم ترميز Base64Url في JSON التالي:

   {
     "jti":"JTI_VALUE",
     "htm":"POST",
     "htu":"https://oauth2.googleapis.com/token",
     "iat":YOUR_JWT_ISSUED_TIME,
     "nonce":"SERVER_PROVIDED_NONCE"
   }

   تعتمد قيمة jti على نوع التبادل:

   • بالنسبة إلى عمليات تبادل رمز التفويض، يجب أن يكون jti عبارة عن قيمة تجزئة متوافقة مع SHA256 بترميز Base64Url لرمز التفويض: "jti":"BASE64URL(SHA256(AUTHORIZATION_CODE))".
   • بالنسبة إلى عمليات استبدال الرموز المميزة لإعادة التحميل، يجب أن يكون jti معرّفًا فريدًا لكل طلب: "jti":"YOUR_UNIQUE_PER_REQUEST_IDENTIFIER".
4. توقيع المستند:

   يجب ربط العنوان والبيانات الأساسية المرمّزة بنقطة (.)، ثم توقيع النتيجة باستخدام مفتاحك الخاص من خلال ES256. يُرجى العِلم أنّ JWS يتطلّب أن تكون التوقيعات بتنسيق R | S متسلسل غير معالَج (64 بايت لـ P-256). في حال استخدام OpenSSL مباشرةً، يجب تحويل التوقيع التلقائي المرمّز بتنسيق ASN.1 DER إلى هذا التنسيق الأولي.

يتم الإشارة إلى عملية تبادل ناجحة من خلال استجابة 200 OK تحتوي على الرموز المميزة. إذا تم استخدام دليل صالح على إثبات الحيازة (DPoP) أثناء عملية التبادل، سيكون الرمز المميز لإعادة التحميل الذي تعرضه Google مرتبطًا بمفتاحك من خلال إثبات الحيازة، ولكن لن تكون رموز الدخول مرتبطة بإثبات الحيازة. ستحتفظ رموز الدخول بالقيمة token_type الخاصة بـ Bearer بدلاً من DPoP. بالإضافة إلى ذلك، تعرض Google عنوان HTTP DPoP-Nonce في الاستجابة. على العميل تخزين هذا الرقم الخاص مؤقتًا وتضمينه في مطالبة nonce في مستند إثبات DPoP في الطلبات اللاحقة (مثل تبديل الرمز المميز لإعادة التحميل برمز دخول جديد، أو عند استدعاء واجهات برمجة التطبيقات المحمية بواسطة DPoP). باستخدام قيمة nonce الصادرة مسبقًا، يمكنك تجنُّب حدوث خطأ إضافي في عملية تبادل البيانات (use_dpop_nonce) عند تقديم طلبك التالي.

يجب تضمين مستندات إثبات DPoP لطلبات استبدال الرموز المميزة التي يتم إجراؤها باستخدام رموز مميزة لإعادة التحميل مرتبطة بـ DPoP.

يحدث تبادل فاشل إذا كان عنوان DPoP غير متوفّر عند توقّعه، أو إذا كان غير صالح، أو إذا كانت صحة الإثبات تستخدم مفتاحًا مختلفًا عن المفتاح المرتبط بالرمز المميّز. في هذه الحالات، يعرض الخادم الخطأ 400 Bad Request. إذا كان دليل DPoP يتضمّن مطالبات htm أو htu غير متطابقة، أو iat منتهي الصلاحية، أو jti تمت إعادة استخدامه، أو توقيع غير صالح، تعرض Google رمز الخطأ invalid_dpop_proof. إذا كان يجب توفير قيمة nonce لبروتوكول DPoP، مثلاً أثناء تبادل الرموز المميزة لإعادة التحميل، ولم يتضمّن دليل DPoP مطالبة nonce، أو كانت قيمة nonce غير مقبولة لدى الخادم (مثلاً، انتهت صلاحيتها أو تم استخدامها من قبل أو كانت غير صحيحة)، تعرض Google رمز الخطأ use_dpop_nonce مع عنوان HTTP DPoP-Nonce الذي يحتوي على قيمة nonce جديدة يمكنك استخدامها في طلب لاحق. قد تعرض حالات تعذُّر التثبيت الأخرى الرمز invalid_grant.

تستجيب Google لهذا الطلب من خلال عرض عنصر JSON يحتوي على رمز دخول قصير الأمد ورمز مميز لإعادة التحميل. يُرجى العِلم أنّه لا يتم عرض الرمز المميز لإعادة التحميل إلا إذا ضبط تطبيقك المَعلمة access_type على offline في الطلب الأوّلي إلى خادم التفويض من Google.

يتضمّن الردّ الحقول التالية:

يعرض المقتطف التالي نموذجًا ناجحًا لعناوين الاستجابة ونصها عند استخدام DPoP:

HTTP/1.1 200 OK
Content-Type: application/json; charset=utf-8
DPoP-Nonce: AN3XwJjZsjnb0ZuWkRlek8QU7wY-Zhf-5IP6tO0tORz0KgtDT1Bo8FX-w4nz3r5lnepI

{
  "access_token": "1/fFAGRNJru1FTz70BzhT3Zg",
  "expires_in": 3920,
  "token_type": "Bearer",
  "scope": "https://www.googleapis.com/auth/youtube.force-ssl",
  "refresh_token": "1//xEoDL4iW3cxlI7yDbSRFYNG01kVKM2C-259HOF2aQbI"
}

PHP

للاطّلاع على النطاقات التي منحها المستخدم، استخدِم طريقة getGrantedScope():

// Space-separated string of granted scopes if it exists, otherwise null.
$granted_scopes = $client->getOAuth2Service()->getGrantedScope();

Python

يحتوي العنصر credentials الذي يتم عرضه على السمة granted_scopes، وهي قائمة بالنطاقات التي منحها المستخدم لتطبيقك.

credentials = flow.credentials
flask.session['credentials'] = {
    'token': credentials.token,
    'refresh_token': credentials.refresh_token,
    'granted_scopes': credentials.granted_scopes}

Ruby

عند طلب نطاقات متعددة في الوقت نفسه، تحقَّق من النطاقات التي تم منحها من خلال السمة scope الخاصة بالكائن credentials.

# User authorized the request. Now, check which scopes were granted.
if