Подключение вашего защищенного веб-приложения OAuth2 с Android

В своем последнем посте я показал, как отправлять пользовательские уведомления для  устройств Android Wear на часы Android Wear.

Чтобы продемонстрировать это лучше, я использовал события из нашего  приложения Teamgeist  в качестве примера и как могут выглядеть уведомления.

Я издевался над данными на стороне сервера, так как основное внимание уделялось части уведомлений. Сегодня я хотел подключиться к нашим данным на стороне сервера через приложение для Android. Поэтому мне нужно было аутентифицировать пользователя Android на сервере.

Как Google OAuth2 Flow работает для нашего веб-приложения

Наше приложение Teamgeist использует OAuth2 и Google для аутентификации пользователя и получения некоторой информации о профиле пользователя или адресе электронной почты. Поток OAuth2 может быть довольно сложным в первый раз. Поток между нашим клиентом JavaScript и серверной частью можно упростить, выполнив следующие шаги:

1. Первый запрос из нашего приложения JavaScript на сервер будет отправлен без токена в заголовке HTTP. Поэтому мы перенаправляем пользователя на страницу входа, где мы показываем кнопку входа в Google+:

2. В зависимости от текущего статуса входа пользователя на следующих страницах может быть экран входа или страница выбора (например, если пользователь использует несколько учетных записей Google). Давайте предположим, что пользователь входит в систему. На следующей странице будет наш экран согласия:

Как видите, наше приложение хочет получить доступ к информации профиля пользователя. Если пользователь предоставит разрешение и примет этот экран, Google сгенерирует код авторизации. Во время настройки OAuth2 Google запросил URL обратного вызова. Сгенерированный код авторизации будет отправлен на этот URL.

В обмен на код авторизации сервер получает токен доступа от Google. С помощью этого токена сервер может получать информацию о профиле пользователя за определенное время. Кроме того, сервер получает токен обновления, который длится дольше и может использоваться для получения нового токена доступа.

Токены доступа и обновления должны храниться на сервере. Эти токены никогда не должны передаваться клиентскому приложению (ни Android, ни JavaScript). На стороне клиента мы храним токен носителя приложения. Мы связываем этот токен с пользователем и передаем его клиенту. Это единственный токен, который клиент должен сообщить нашему серверу.

Подключите Android к существующему потоку

Давайте предположим, что пользователь, использующий приложение Android, уже зарегистрирован в Интернете. Чтобы получить любую информацию от сервера, например, события или репутацию, мы должны инициировать запрос на токен на предъявителя. Мы последовали за публикацией в блоге  от Google, шаг за шагом о кросс-клиентской идентичности, которая привела нас к двум рабочим решениям. У обоих есть свои ограничения.

Для обоих из них вам необходимо зарегистрировать приложение Android ВНУТРИ вашего проекта приложения в консоли разработчика Google. Не создавайте новый, так как они будут связаны друг с другом и должны быть частью одного проекта. Пожалуйста, проверьте дважды ключ SHA1 для приложения Android, которое вы вводите И имя пакета вашего приложения Android. В начале мы начали с рефакторинга текущего приложения уведомлений, изменив имя пакета с io.teamgeist.app на io.teamgeist.android. Это приводит к расстраиванию ошибок INVALID_CLIENT_ID и INVALID_AUDIENCE. Когда мы вернулись к .app и заново создали приложение Android в консоли разработчика, все начало работать. Мы не пытались переименовать его обратно в .android, поэтому мы не можем сказать, является ли это запрещенным ключевым словом в имени пакета или, может быть, мы были слишком уверены в переименовании имен пакетов Android для IDE.Если вы столкнулись с какой-либо ошибкой, проверьте ключ SHA1 хранилища ключей и имя вашего пакета. Также посмотрите на это сообщение в блоге , которое пришло довольно кстати.

Если вы все сделали правильно, вы можете получить код авторизации или GoogleIdToken от GoogleAuthUtil. Для этого вам потребуется идентификатор клиента сервера или веб-приложения, зарегистрированного в вашем проекте.

Выберите учетную запись Google

Перед началом работы вам нужно разрешить пользователю выбрать учетную запись Google. Это можно сделать, вызвав метод Выбрать учетную запись из класса AccountPicker:

Intent intent = AccountPicker.newChooseAccountIntent(
        null, null,
        {"com.google"}, 
        false, null, null, null, null);
startActivityForResult(intent, PICK_ACCOUNT_CODE);

@Override
protected void onActivityResult(int requestCode, int resultCode, Intent data) {
...
        if (resultCode == RESULT_OK) {
            String email = data.getStringExtra(AccountManager.KEY_ACCOUNT_NAME);
....

GoogleAuthUtil.
        getToken(yourActivity, email,
        "oauth2:server:client_id:{server_client_id}:api_scope:");

catch (UserRecoverableAuthException userRecoverableException) {
    yourActivity.startActivityForResult(userRecoverableException.getIntent(), 
    GRANT_PERMISSIONS_CODE);
}

protected void onActivityResult(int requestCode,int resultCode,Intent data){
    if(requestCode==GRANT_PERMISSIONS_CODE){
        if(resultCode==RESULT_OK){
            Bundle extras=data.getExtras();
            String authtoken=extras.getString("authtoken");
        }
    }
}

{
    "issuer": "accounts.google.com",
    "issued_to": "[Client id of your android application from the developer console]",
    "audience": "[Client id of your web application from the developer console]",
    "user_id": "10186*************",
    "expires_in": 3581,
    "issued_at": 1420230999,
    "email": "stefan.djurasic@comsysto.com",
    "email_verified": true
}

"oauth2:server:client_id:{server_client_id}:api_scope:"

"audience:server:client_id:{server_client_id}"

JsonFactory jsonFactory = new JacksonFactory();
NetHttpTransport transport = new NetHttpTransport();
String jwt = "thestringofthejwt";

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    .setAudience(Arrays.asList("YOUR SERVER CLIENT ID "))
    .setIssuer("accounts.google.com")
    .build();

GoogleIdToken googleIdToken = verifier.verify(jwt);
if (googleIdToken != null) {
    //The token is valid. You can add a check for the issued_to/azp field
    if (!"YOUR ANDROID CLIENT ID".equals(googleIdToken.getPayload().getAuthorizedParty())) {
        throw new OAuthException("Wrong authorized party returned");
    }

}