Ruby on Rails上新的Google Apps Marketplace Oauth2.0实现问题

Question

我们在使用Oauth2.0为SSO开发新的Google Apps Marketplace应用程序的过程中遇到了一个问题。

作为我们应用程序的一部分，我们在离线模式下使用谷歌日历V3应用编程接口——这意味着我们需要为客户保留“refresh_token”。

为了在第一次OAuth2.0身份验证期间获得“刷新令牌”，我们需要配置google_oauth2.0提供程序(使用omniauth-google-oauth2 gem)，例如:

Rails.application.config.middleware.use OmniAuth::Builder do
    provider :google_oauth2, CONFIG[:app_id], CONFIG[:app_secret], {
    access_type: 'offline',
    prompt: 'consent' }
 end

如果不指定access_type: 'offline '和prompt:'consent '我们将不会收到refresh_token，并且无法正确使用日历API。

但是，指定提示：“同意”属性会导致授权弹出窗口，从而否定整个 SSO 想法 - 在安装过程中只有域管理员会收到提示。

是否可以在不提示域用户的情况下获取refresh_token？新的Google Apps Marketplace如何在不提示最终用户的情况下支持离线访问？

Answer 1

正如在这个问题(Google Apps Marketplace SDK全域OAuth 2 SSO)中回答的那样，如果您请求从您的应用程序进行离线访问，域用户在执行OAuth2.0时将始终被提示使用授权页面。

然而，我不认为这否定了单点登录的概念，因为离线权限只会在用户第一次访问你的应用时授予。授予权限后，你的应用程序不会再次请求权限(如果库中的prompt:“同意”参数转化为approval _ prompt:“auto”，就像OAuth2.0登录文档中一样)。

Answer 2

它看起来像是一个离线访问的服务帐户。

受此线程启发：Ruby中Google Apps API和服务帐户的问题

我发现我可以在应用程序市场配置上创建服务帐户。项目-

key = Google::APIClient::PKCS12.load_key('privatekey.p12', 'notasecret')
client = Google::APIClient.new

client.authorization = Signet::OAuth2::Client.new(
        :token_credential_uri => 'https://accounts.google.com/o/oauth2/token',
        :audience => 'https://accounts.google.com/o/oauth2/token',
        :scope => 'https://www.googleapis.com/auth/calendar',
        :issuer => '<email-address-of-service-account>@developer.gserviceaccount.com',
        :signing_key => key,
        :person => email)
client.authorization.fetch_access_token!

这不仅允许我在过程中的任何阶段进行身份验证而无需提示最终用户 - 而且我不再需要refresh_token，并且我可以使用域级授权执行 API 调用。人员选项允许我指定我正在使用 API 调用的最终用户。