Jak bezpiecznie loguję się do Arkuszy kalkulacyjnych Google za pomocą yeroon.net/ggplot2

Question

Jestem pod wrażeniem tego, co widziałem na temat yeroon.net/ggplot2, który jest interfejsem sieciowym dla pakietu Hadley Wickham's R ggplot2. Chcę to wypróbować na własnych danych. Częścią, która mnie bardzo podekscytowała, jest to, że jako dane można wykorzystać dane przechowywane w arkuszu kalkulacyjnym Google. Wystarczy zalogować się na swoje konto Google, aby yeroon.net/ggplot2 mógł uzyskać dostęp do listy arkuszy kalkulacyjnych. Byłem niezdecydowany, aby to zrobić. Jeśli zaloguję się na stronie yeroon.net, czy przekazuję swoją nazwę użytkownika i hasło stronie trzeciej? Byłoby mi nierozsądnie wyjawić hasło do Google stronom trzecim, ponieważ Google szybko staje się moim repozytorium wszystkiego.

Skąd wiadomo, czy aplikacja Jeroon używa numeru ClientLogin lub OAuth? Moje zrozumienie jest bardzo podstawowe i może być błędne, ale mimo to oto jest. OAuth byłby lepszy, ponieważ w rzeczywistości nie przekazuje hasła do aplikacji zewnętrznej.

Answer 1

Jestem twórcą yeroon.net/ggplot2, ktoś wskazał mi ten temat. Spróbuję wyjaśnić, jak system działa obecnie.

Aplikacja używa AuthSub authentication. Z chwilą zalogowania się na konto Google tworzona jest sesja Google. Ta sesja ma tylko dostęp do dokumentów Google i usług arkusza kalkulacyjnego Google, na które zezwoliłeś na stronie logowania Google, a więc nie do np. twoja skrzynka pocztowa.

Po zalogowaniu otrzymasz od Google token sesji: unikalny klucz, który należy do sesji i można go użyć do wysyłania żądań dostępu do danych Google. Token sesji jest przechowywany jako plik cookie w przeglądarce, dopóki go nie zamkniesz. Za każdym razem, gdy wysyłasz żądanie do serwerów yeroon.net, ten token jest dodawany do żądania.

Za pomocą tego tokenu serwery yeroon.net mogą uzyskać dostęp do danych google, np. aby odzyskać arkusz kalkulacyjny. Token nie jest przechowywany na serwerze, chociaż rozumiem, że musisz wyrazić moje zdanie na ten temat. Również nie jest możliwe znalezienie nazwy użytkownika lub hasła z tokena sesji; można go użyć tylko do odzyskiwania danych, o ile sesja będzie istnieć.