Руководство разработчика. Протокол обмена данными с API – OAuth для веб-приложений



Примечание. С 4 марта 2014 года прекращается поддержка YouTube Data API версии 2. Ознакомьтесь с правилами поддержки устаревших версий.

Важно! Поддержка Account Authentication API для протокола OAuth 1.0 официально прекращена с 20 апреля 2012 года. Он будет действовать согласно правилам поддержки устаревших версий, но мы рекомендуем как можно скорее перейти на протокол авторизации OAuth 2.0. При разработке новых приложений следует использовать протокол OAuth 2.0.

Протокол OAuth предоставляет стандартный способ доступа к защищенным данным на различных веб-сайтах. Методы AuthSub и ClientLogin разработаны специально для Google, а протокол OAuth является открытым и может применяться на других веб-сайтах. Так же как AuthSub, аутентификация OAuth полезна, если создается веб-приложение, позволяющее пользователям связывать видео, комментарии, рейтинги, контакты и другую информацию со своими аккаунтами YouTube. OAuth может стать особенно привлекательным, если ваше приложение интегрируется с другими API помимо API YouTube и эти API поддерживают протокол OAuth. Для получения дополнительных сведений по Oauth см. http://oauth.net.

На этой странице описано использование протокола OAuth для отправки запросов API YouTube с аутентификацией. Эта страница состоит из следующих разделов.

Основные сведения о маркерах OAuth   Настройка аутентификации OAuth   Использование OAuth   Подписание запросов, использующих аутентификацию OAuth   Схема процесса  

Основные сведения о маркерах OAuth

Аутентификация OAuth использует два типа маркеров.

• Маркер запроса гарантирует, что конечный пользователь разрешит вашему приложению выполнять операции API от имени пользователя. YouTube использует маркер запроса также для проверки того, что ваше приложение зарегистрировано в Google.

• Маркер доступа позволяет вашему приложению выполнять операции API данных YouTube от имени определенного пользователя.

Примечание. Ваше приложение должно получить уникальные маркеры запроса и доступа для каждого пользователя. Кроме того, в вашем приложении должен быть реализован механизм сохранения маркеров доступа для последующего использования.

Процесс аутентификации выполняется в три этапа.

1. Приложение получает неавторизованный маркер запроса. Google проверяет, что ваше приложение было зарегистрировано, и возвращает маркер. Маркеры запросов действительны в течение только одного часа.

2. Приложение перенаправляет пользователя на страницу входа Google. В URL для перенаправления указывается значение неавторизованного маркера запроса, полученное в шаге 1, а также URL для обратного вызова.

После того как пользователь войдет в свой аккаунт YouTube, Google отображает страницу, на которой пользователь может выбрать, разрешить или нет вашему приложению выполнять операции API YouTube от его имени. Если пользователь предоставляет вашему приложению такой доступ, неавторизованный маркер становится авторизованным. (Значение маркера при этом не изменяется.) Пользователь будет перенаправлен на указанный выше URL обратного вызова.

3. Приложение обменивает авторизованный маркер запроса на маркер доступа. Обмениваться могут только авторизованные маркеры, и каждый маркер запроса можно обменять только один раз. Маркер доступа связывается с одним аккаунтом пользователя, и ваше приложение должно использовать этот маркер для отправки прошедших аутентификацию запросов API от имени этого пользователя.

Настройка аутентификации OAuth

Необходимо выполнить следующие шаги, чтобы позволить вашему веб-приложению выполнять аутентификацию пользователей с использованием протокола OAuth.

1. Зарегистрируйте свое веб-приложение в Google.

См. страницу Регистрация веб-приложений для получения сведений о процедуре регистрации и предъявляемых требованиях по ее проведению.

Примечание. Все запросы на получение или использование маркера OAuth должны быть подписаны. Google поддерживает алгоритмы формирования подписи RSA-SHA1 и HMAC-SHA1.

• Если вашим приложением используется алгоритм RSA-SHA1, то при регистрации необходимо добавить в Google сертификат безопасности.

• Если вашим приложением используется алгоритм HMAC-SHA1, при регистрации оставьте поле сертификата незаполненным. Google создаст секретный код пользователя OAuth, который будет показан на странице регистрации вашего домена по завершении процедуры регистрации. Вы будете использовать этот код для подписания запросов.