API App Identity per servizi in bundle legacy

ID regione

REGION_ID è un codice abbreviato assegnato da Google in base all'area geografica selezionata al momento della creazione dell'app. Il codice non corrisponde a un paese o a una provincia, anche se alcuni ID regione possono sembrare simili ai codici paese e provincia di uso comune. Per le app create dopo febbraio 2020, REGION_ID.r è incluso negli URL di App Engine. Per le app esistenti create prima di questa data, l'ID regione è facoltativo nell'URL.

Scopri di più sugli ID regione.

OK

L'API App Identity consente a un'applicazione di scoprire il proprio ID applicazione (detto anche ID progetto). Utilizzando l'ID, un'applicazione App Engine può affermare la propria identità ad altre app App Engine, API di Google e applicazioni e servizi di terze parti. L'ID applicazione può essere utilizzato anche per generare un URL o un indirizzo email oppure per prendere una decisione in merito al tempo di esecuzione.

Questa API è supportata per i runtime di prima generazione e può essere utilizzata durante l'upgrade ai runtime di seconda generazione corrispondenti. Se esegui l'aggiornamento al runtime PHP 7/8 di App Engine, consulta la guida alla migrazione per conoscere le opzioni di migrazione per i servizi in bundle legacy.

Recupero dell'ID progetto

Puoi trovare l'ID progetto utilizzando il metodo AppIdentityService::getApplicationId().

Ottenere il nome host dell'applicazione

Per impostazione predefinita, le app di App Engine vengono pubblicate dagli URL nel formato https://PROJECT_ID.REGION_ID.r.appspot.com, dove l'ID progetto fa parte del nome host. Se un'app viene pubblicata da un dominio personalizzato, potrebbe essere necessario recuperare l'intero componente del nome host. Puoi farlo utilizzando il metodo AppIdentityService::getDefaultVersionHostname().

Rivendicazione dell'identità ad altre applicazioni App Engine

Se vuoi determinare l'identità dell'app App Engine che effettua una richiesta alla tua app App Engine, puoi utilizzare l'intestazione della richiesta X-Appengine-Inbound-Appid. Questa intestazione viene aggiunta alla richiesta dal servizio URLFetch e non è modificabile dall'utente, quindi indica in modo sicuro l'ID progetto dell'applicazione richiedente, se presente.

Requisiti:

• Solo le chiamate effettuate al dominio appspot.com della tua app conterranno l'intestazione X-Appengine-Inbound-Appid. Le chiamate ai domini personalizzati non contengono l'intestazione.
• Le richieste devono essere impostate in modo che non seguano i reindirizzamenti.

Nel gestore di applicazioni, puoi controllare l'ID in entrata leggendo l'intestazione X-Appengine-Inbound-Appid e confrontandolo con un elenco di ID autorizzati a effettuare richieste.

Rivendicazione dell'identità alle API di Google

Le API di Google utilizzano il protocollo OAuth 2.0 per autenticazione e autorizzazione. L'API App Identity può creare token OAuth che possono essere utilizzati per dichiarare che l'origine di una richiesta è l'applicazione stessa. Il metodo getAccessToken() restituisce un token di accesso per un ambito o un elenco di ambiti. Questo token può quindi essere impostato nelle intestazioni HTTP di una chiamata per identificare l'applicazione chiamante.

L'esempio seguente mostra come utilizzare l'API App Identity per recuperare i contatti di Google Calendar mediante OAuth.

Nota: le librerie client delle API di Google possono anche gestire automaticamente gran parte di questo aspetto.

// Retrieves Google Calendar contacts using OAuth

use google\appengine\api\app_identity\AppIdentityService;

function setAuthHeader() {
  $access_token = AppIdentityService::getAccessToken('https://www.google.com/m8/feeds');
  return [sprintf('Authorization: OAuth %s', $access_token['access_token'])];
}

$get_contacts_url = 'https://www.google.com/m8/feeds/contacts/default/full';
$headers = setAuthHeader();
$opts = [
  'http' => [
    'header' => implode("\r\n", $headers),
  ],
];

$context = stream_context_create($opts);

$response = file_get_contents($get_contacts_url, false, $context);

$xml = simplexml_load_string($response);

$email = $xml->author->email;
$service_account = AppIdentityService::getServiceAccountName();

if (strcmp($email, $service_account) != 0) {
  die(sprintf('%s does not match the service account name %s.',
              $email,
              $service_account));
}

Tieni presente che l'identità dell'applicazione è rappresentata dal nome dell'account di servizio, che in genere è [e-mail]. Puoi ottenere il valore esatto utilizzando il metodo getServiceAccountName(). Per i servizi che offrono ACL, puoi concedere l'accesso all'applicazione concedendo l'accesso a questo account.

Rivendicazione dell'identità a servizi di terze parti

Il token generato da getAccessToken() funziona solo con i servizi Google. Tuttavia, puoi utilizzare la tecnologia di firma sottostante per asserire l'identità della tua applicazione ad altri servizi. Il metodo signForApp() firma i byte utilizzando una chiave privata univoca per l'applicazione, mentre il metodo getPublicCertificates() restituisce certificati che possono essere utilizzati per convalidare la firma.

Nota: i certificati possono essere ruotati di tanto in tanto e il metodo potrebbe restituire più certificati. Vengono restituiti solo i certificati attualmente validi; se archivi i messaggi firmati, avrai bisogno di un'ulteriore gestione delle chiavi per verificare le firme in un secondo momento.

Recupero del nome predefinito del bucket Cloud Storage

Ogni applicazione può avere un bucket Cloud Storage predefinito, che include 5 GB di spazio di archiviazione gratuito e una quota gratuita per le operazioni di I/O.

Per ottenere il nome del bucket predefinito, chiama CloudStorageTools::getDefaultGoogleStorageBucketName. In alternativa, puoi utilizzare il valore #default# come nome del bucket, dove #default# verrà sostituito automaticamente in fase di runtime dal nome del bucket predefinito dell'applicazione.