Możesz tworzyć lub autoryzować aplikacje, które wykorzystują Open Cloud APIs do dostępu do zasobów Robloxa. Open Cloud zapewnia uwierzytelnianie dla tych aplikacji przy użyciu OAuth 2.0.
- Jako twórca gier lub właściciel grupy
Możesz bezpiecznie korzystać z narzędzi stworzonych przez innych, aby zwiększyć swoją produktywność twórczą. Warstwa autoryzacji OAuth 2.0 pozwala Ci przyznawać uprawnienia aplikacjom stron trzecich do dostępu do gier Twoich lub Twojej grupy, bez konieczności podawania im swoich poświadczeń i danych osobowych. Wybierasz dostępne uprawnienia do swoich specyficznych zasobów Robloxa, a Roblox zajmuje się procesem autoryzacji za pomocą ram OAuth 2.0.
Musisz mieć konto 13+ aby autoryzować aplikacje OAuth 2.0.
- Jako deweloper aplikacji
Możesz tworzyć aplikacje dla siebie i innych w społeczności Robloxa. OAuth 2.0 definiuje role zaangażowane w proces autoryzacji, protokół w jaki role ze sobą współdziałają oraz ścieżki autoryzacyjne, które musisz przestrzegać, aby rozwijać bezpieczne i zgodne aplikacje.
Musisz być zweryfikowanym użytkownikiem aby zarejestrować i opublikować aplikacje OAuth 2.0.
Role
Protokół Open Cloud OAuth 2.0 ma następujące role. Zrozumienie konkretnych ról jest przydatne przed nauką o tym, jak ze sobą współdziałają w procesach autoryzacji.
Właściciel zasobów: Podmiot zdolny do przyznania dostępu do chronionego zasobu. Na przykład twórca, który pozwala aplikacji strony trzeciej na dostęp do swoich zasobów Robloxa za pośrednictwem Open Cloud Web APIs.
Serwer zasobów: Usługa Robloxa, która hostuje chronione zasoby i odpowiada na żądania od właściciela zasobów.
Klient: Aplikacja, która uzyskuje dostęp do chronionych zasobów w imieniu właściciela zasobów (za zgodą właściciela).
Serwer autoryzacji: Serwer Robloxa, który uwierzytelnia tożsamość właściciela zasobów i wydaje tokeny dostępu dla klienta.
Typy przyznania
Strumienie autoryzacji, lub typy przyznania, to kroki działań, które wykonywane są przez role w trakcie procesu autoryzacji. Roblox obsługuje strumień kodu autoryzacji OAuth 2.0 oraz jego rozszerzenie Proof Key for Code Exchange (PKCE), z różnymi wymaganiami implementacyjnymi dla aplikacji, które są zdolne lub niezdolne do przechowywania sekretów klientów.
Strumień kodu autoryzacji
Poprzez strumień kodu autoryzacji klient wymienia kod autoryzacji na token dostępu i token odświeżający, aby zakończyć proces autoryzacji w następujących krokach:
Klient wysyła żądanie autoryzacji do serwera autoryzacji Robloxa.
Serwer autoryzacji weryfikuje tożsamość właściciela zasobów.
Serwer autoryzacji otrzymuje uprawnienia do dostępu do konkretnych zasobów Robloxa od właściciela zasobów.
Serwer autoryzacji przekierowuje właściciela zasobów z powrotem do klienta z kodem autoryzacyjnym.
Klient żąda tokenu dostępu, używając kodu autoryzacyjnego z punktu końcowego tokenów.
Klient otrzymuje odpowiedź od punktu końcowego tokenów zawierającą token dostępu, token ID oraz token odświeżający.
Klient odzyskuje dozwolone zasoby po uzyskaniu tokenu dostępu.
Poniższa figura opisuje interakcje między rolami w strumieniu kodu autoryzacji, które przeczytasz w kolejnych sekcjach:
Strumień kodu autoryzacji z PKCE
Rozszerzenie PKCE strumienia kodu autoryzacji pomaga zmniejszyć ryzyko wycieku kodu autoryzacyjnego i zapobiega atakowi typu cross-site request forgery (CSRF), który oszukuje użytkowników, aby przesyłali niezamierzone żądania internetowe. Ten strumień kończy proces autoryzacji według następujących kroków:
Klient generuje unikalny i kryptograficznie losowy klucz zwany weryfikatorem kodu dla każdego żądania autoryzacji.
Klient przeprowadza algorytm haszujący SHA-256 na weryfikatorze kodu, aby wygenerować wyzwanie kodu.
Jeśli klient:
Jest klientem publicznym, zamiast używać sekretnych danych klienta, przesyła identyfikator klienta i wyzwanie kodu w żądaniu autoryzacyjnym.
Jest klientem poufnym, dodaje wyzwanie kodu razem z identyfikatorem klienta i sekretem w żądaniu.
Klient wysyła żądanie autoryzacji do serwera autoryzacji Robloxa.
Serwer autoryzacji weryfikuje tożsamość właściciela zasobów.
Serwer autoryzacji otrzymuje uprawnienia do dostępu do konkretnych zasobów Robloxa od właściciela zasobów.
Serwer autoryzacji przekierowuje właściciela zasobów z powrotem do klienta z kodem autoryzacyjnym.
Klient dołącza kod autoryzacyjny i oryginalny weryfikator kodu w żądaniu tokenu do punktu końcowego tokenów.
Serwer autoryzacji weryfikuje kod autoryzacyjny i powiązany weryfikator kodu.
Klient otrzymuje odpowiedź z punktu końcowego tokenów zawierającą token dostępu, token ID oraz token odświeżający.
Klient odzyskuje dozwolone zasoby po uzyskaniu tokenu dostępu.
Wsparcie OpenID Connect
Roblox używa OpenID Connect (OIDC) jako warstwy tożsamości na szczycie protokołu OAuth 2.0 w celu uwierzytelnienia w celu ochrony wrażliwych informacji o koncie. OIDC pozwala aplikacjom na weryfikację tożsamości użytkowników i uzyskiwanie ich podstawowych publicznych informacji profilowych, takich jak identyfikator użytkownika, nazwy użytkownika, wyświetlane nazwy i linki do profilu.
Podczas dodawania zakresów uprawnień do swojej aplikacji na Creator Dashboard, upewnij się, że wybierasz zakres tożsamości openid w celu otrzymania tokenu ID w odpowiedzi na token jako część procesu uwierzytelnienia.
Rejestracja i implementacja
Aby wdrożyć aplikację internetową lub mobilną, której używasz ze strumieniem kodu autoryzacji, musisz:
Zarejestrować swoją aplikację w Robloxsie. To pozwoli Ci uzyskać identyfikator klienta i sekret, aby zarejestrować swoją aplikację w Robloxsie i wykonywać wywołania do swoich punktów końcowych.
Wdrożyć strumień kodu autoryzacji. Aby uzyskać pełny odnośnik do punktów końcowych OAuth 2.0, które musisz wywołać, zapoznaj się z odnośnikiem do Uwierzytelnianie.
Przejść przez proces przeglądu aby uzyskać większy limit użytkowników.