Требование Google OAuth2, что я владею доменом - PullRequest
Новая
       6

Требование Google OAuth2, что я владею доменом

0 голосов
/ 12 ноября 2018

Может ли кто-нибудь дать мне краткое объяснение необходимости «владеть» доменом, из которого обслуживается приложение Javascript, которое делает вызовы OAuth2 сервису, работающему на App Engine? Я предполагаю, что это предназначено, чтобы предотвратить некоторую уязвимость безопасности. Я просто не могу себе представить, что, так как Javascript аутентифицируется с помощью сервиса, используя клиент, запущенный в веб-браузере пользователя, и поток аутентификации проясняет, что пользователю предлагается разрешить. Какая разница, откуда берется страница?

1 Ответ

0 голосов
/ 13 ноября 2018

Неважно, откуда приходит запрос на аутентификацию.Ваше приложение может работать локально на настольном компьютере, мобильном устройстве, веб-сайте и т. Д.

[Технические причины]:

Конечная точка, к которой Google OAuth обращается, чтобы предоставить токен, должна быть безопасно переданаконечная точка HTTPS.Если вы укажете конечную точку HTTP, запрос авторизации не будет выполнен.Чтобы настроить SSL на вашем сервере, вы должны иметь зарегистрированное доменное имя.Исключение составляют случаи, когда вы используете http://localhost/ или http://[::1]/ для авторизации через встроенный веб-сервер.

[Юридические / политические причины]:

Ключ заключается в владении доменомGoogle также имеет возможность отображать информацию о том, кто запрашивает доступ.Это необходимо для защиты конечного пользователя от мошеннических действий.Информация, предоставляемая конечному пользователю, включает:

  • Адрес электронной почты службы поддержки для вашего веб-сайта.
  • URL-адрес домашней страницы приложения.
  • URL-адрес политики конфиденциальности приложения.
  • Условия обслуживания приложения.

В некоторых странах вы должны предоставить письменную информацию о том, как вы будете использовать и защищать информацию клиента в соответствии с законодательством.Если у вас нет веб-сайта, то эта часть не может быть выполнена Google, который отвечает за защиту конечного пользователя с использованием учетных записей Google для аутентификации.

...