概览 (original) (raw)

“使用 Google 账号登录”功能可帮助您快速管理网站上的用户身份验证。用户登录 Google 账号，表示同意，以安全的方式与您的平台共享其个人资料信息。

用户注册和登录支持自定义按钮和多个流程。

注册是指征得 Google 账号持有人同意以与您的平台共享其个人资料信息的步骤。通常，系统会使用此共享数据在您的网站上创建一个新账号，但这不是一项强制性要求。

登录是指通过个性化登录按钮或一键式和自动登录，让用户通过其活跃的 Google 账号登录您的网站，对于已登录 Google 账号的用户，可采用此方式。

请参阅案例研究，了解“使用 Google 账号登录”功能集成的一些成功案例。

您还可以使用 Google Identity Services Authorization API，获取用于 Google API 或访问用户数据的访问令牌。

用户隐私

“使用 Google 账号登录”功能中的数据不会用于广告或其他非安全用途。

使用场景

向您的网站添加“使用 Google 账号登录”功能的一些原因如下：

• 在账号创建或设置页面添加一个明显可信且安全的“使用 Google 账号登录”按钮。
• 使用经同意共享 Google 账号资料中的数据预先填充新账号。
• 用户可以登录一次 Google 账号，而无需在其他网站上重新输入用户名或密码。
• 在回访时，用户可以自动登录，也可以一键登录整个网站。
• 使用经过验证的 Google 账号来保护评论、投票或表单免遭滥用，同时允许匿名。

支持的功能

“使用 Google 账号登录”功能支持以下功能：

• 注册即可（可选）根据 Google 账号个人资料创建一个自动填充的新账号。
• 登录，使用账号选择器从多个账号中进行选择。
• 如果您已登录 Google 账号，只需点按一下即可登录。
• 回访时，使用计算机、手机甚至多个浏览器标签页自动登录。
• 退出账号，即可在您的所有设备上停用自动登录功能。

请注意账号状态可能会对“使用 Google 账号登录”功能产生的影响：

• 暂停您的 Google 账号后，用户将无法再通过“使用 Google 账号登录”功能登录所有网站。
• 删除您的 Google 账号或合作伙伴账号会影响其中一个，但不会影响另一个。

与 OAuth 和 OpenId Connect 比较

OAuth 和 OpenId Connect 是开放标准，提供各种可配置选项，用于微调身份验证和授权流程的行为。如需了解详情，请参阅 Google 的 OAuth 文档。

“使用 Google 账号登录”功能提供单个 SDK，其中包含多个相关产品，包括个性化按钮、一键快捷功能、自动登录和授权。与标准 OAuth 和 OpenID Connect 协议相比，该协议旨在为开发者提供更轻松、更安全的体验，同时提供更顺畅的用户体验。

• “使用 Google 账号登录”功能基于 OAuth 2.0。用户通过“使用 Google 账号登录”功能授予的权限与其为 OAuth 授予的权限相同，反之亦然。
• OAuth 2.0 也是业界标准的授权协议。它提供一组端点，而依赖方使用 HTTP 来集成这些端点。
• Google Identity Services (GIS) API 支持多种语言（包括 JavaScript 和 HTML），可同时提供身份验证和授权功能。
• GIS 将身份验证时刻与授权时刻分开。在进行身份验证时，只需将一些界面元素（例如个性化按钮、一键快捷功能和自动登录）集成到您的网站中，即可实现快速集成。这些界面元素在所有第三方网站上提供一致的身份验证用户体验。在授权时刻，GIS 会触发 OAuth 流程，以代表用户返回用于数据访问的令牌。
• GIS 身份验证简化了与依赖方的集成，并减轻开发者的大部分 OAuth 和安全知识负担。您无需从各种方法中进行选择，即可获取访问令牌或授权代码，否则可能会面临选择错误方法的后果。OAuth 2.0 协议提供了许多详细信息（例如 HTTP 端点的请求和响应参数），而 GIS 可以为您处理这些实现细节。此外，默认情况下，GIS 包含一些用于跨站请求伪造 (CSRF) 保护的安全实现。
• 借助 HTML API 和代码生成器，GIS 身份验证可以进一步降低依赖方集成的标准。无需 JavaScript 开发者即可生成代码。这可以减少所需的 OAuth 体验级别并缩短实现时间。
• GIS 授权用户体验完全基于 OAuth 用户体验。但是，为了更轻松、更安全地进行依赖方集成，GIS JavaScript 库增加了一些限制。
• GIS 还提供 OAuth 协议之外的一些功能。例如，它集成了 Password Credential Manager API 和 Federated Credential Manager API。

借助 Google Identity 服务，开发者可以使用专用的集成服务来帮助其用户使用任何用户选择的登录凭据登录开发者的网站和应用。GIS 的使命是支持并简化多种类型的凭据的用户体验，以降低依赖方集成的技术标准。

Federated Credential Manager (FedCM)

根据 Privacy Sandbox 计划，Chrome 将逐步取消对第三方 Cookie 的支持。GIS 集成了 FedCM API，这是一种新的可保护隐私的替代方案，可替代第三方 Cookie，适用于联合身份提供方。GIS 于 2024 年 4 月开始将所有网站迁移到 Chrome 浏览器上的 FedCM。

要获取用于 Google API 的访问令牌或访问用户数据，您需要调用 Google Identity Services 授权 API。它是一个单独的 JavaScript API，但与身份验证 API 打包在一起。

如果您的网站需要同时调用身份验证 API 和授权 API，您需要在不同时刻分别调用它们。在身份验证时，您的网站可以与一键式登录、自动登录和“使用 Google 账号登录”按钮集成，以便用户登录或注册您的网站。稍后，当需要从 Google 访问数据时，您可以调用授权 API 来请求用户同意并获取用于数据访问的访问令牌。这种分离符合我们建议的增量授权最佳实践，在这种应用中请求权限。

为了强制执行这种分离，Authentication API 只能返回用于登录您网站的 ID 令牌，而 Authorization API 只能返回仅用于数据访问而不登录的代码或访问令牌。

得益于这种分离，用户可以在不同网站上获得一致的身份验证体验，这可能会提高用户的信任度和使用率，并为您的网站带来更高的用户转化率。此外，由于这种分离，Google Identity 服务减少了身份验证开发者实现 OAuth 体验所需的级别和时间。