6

Trabalho com a API 3.0 do Google.

Minha sessão do Laravel expira em 5 anos (pra não fazer logout mesmo). Mas a sessão do Google tem 3 horas, ou seja, se o sistema fica parado por 3 horas ele faz logout do Google, mas não do sistema em Laravel.

O que quero é que fique mais tempo que 3 horas logado no Google. Como fazê-lo?

3
  • 1
    O problema ai não é no Laravel, se a API do google não te der a opção de configurar o tempo de sessão, você não vai poder fazer nada. Commented 26/02/2014 às 9:38
  • Podes adicionar à tua pergunta como é que estás a realizar o login? O teu código vai permitir avaliar a solução adequada, sem o mesmo é difícil responder de forma a resolver o teu problema.
    – Zuul
    Commented 26/02/2014 às 11:31
  • Não exite muitas maneiras de fazer o login do google github.com/google/google-api-php-client Commented 26/02/2014 às 16:41

1 Resposta 1

2

O token de acesso expira num curto espaço de tempo, aparentemente relacionado com a segurança do acesso. Se o mesmo for comprometido, o acesso expira num curto espaço de tempo e com ele a ameaça.

Mas existe o token de actualização, que pode ser utilizado para actualizar a sessão e assim gerar outro token de acesso, contribuindo para uma sessão maior.

Conceito

// fazer operações de login...

// recolher o token de acesso
$_SESSION['token'] = $client->getAccessToken();

// se temos o token de acesso
if (isset($_SESSION['token']) && $_SESSION['token']!='') {

  // definir um novo token de acesso
  $client->setAccessToken($_SESSION['token']);

  /* Descodificar o JSON que guardamos na variável de sessão
   * e passar o mesmo para uma variável na forma de um objecto
   */
  $sessionToken = json_decode($_SESSION['token']);

  /* guardar o token de actualização num cookie com o nome "token",
   * dando-lhe um tempo de vida maior
   */
  setcookie("token", $sessionToken->refresh_token, time()+60*60*24*30);  /* 1 mês de vida */
}

Actualizar a sessão se ter que recorrer a novo login

Sempre que for necessário o token de acesso, podemos verificar o cookie:

  • Se vazio, devemos solicitar um novo token de acesso e um novo token de actualização através da autenticação;
  • Se não está vazio, vamos dizer ao cliente que deve actualizar o token:

    if isset($_COOKIE['token'] && $_COOKIE['token']!='') {
      $client->refreshToken($_COOKIE['token']);
    }
    

    Basicamente estamos a actualizar o token de acesso com a ajuda do token de actualização sem realizarmos login novamente.

Notas:

  • O código apresentado deverá ser adaptado para o teu cenário.
  • Deverás ter em conta de que para efeitos de segurança o token que estás a guardar para prolongar a vida da sessão deverá ficar em Base de Dados ao invés de um cookie.
  • Apesar de não ter encontrado os tempos de duração do token de acesso e do token de actualização, podemos ler (Inglês) que os token de actualização foram criados com o propósito de serem "super-duradouros" precisamente para evitar andar sempre a incluir o utilizador nas renovações da sessão:

    Short-lived tokens with Long-lived authorizations

    Instead of issuing a long lasting token (typically good for a year or unlimited lifetime), the server can issues a short-lived access token and a long lived refresh token. This allows clienta to obtain a new access token without having to involve the user again, but keeps access tokens limited. This feature was adopted from Yahoo!’s BBAuth protocol and later its OAuth 1.0 Session Extension.

    Que traduzido:

    Tokens de curta duração com autorizações de longa duração

    Em vez de emitir um token de longa duração (geralmente bom para um ano ou tempo de vida ilimitado), o servidor pode emitir um token de acesso de curta duração e um token de actualização de longa duração. Isso permite o Cliente obter um novo token de acesso sem a necessidade de envolver o usuário novamente, mas mantém tokens de acesso limitado. Esse recurso foi adoptado a partir do protocolo BBAuth da Yahoo! e mais tarde da sua extensão de sessões OAuth 1.0.


Esta resposta é uma adaptação para um formato anónimo da resposta dada pelo @hope_industries no SOEN.
Consulta a mesma para o caso prático que é lá tratado.

2
  • A resposta ilustra o conceito para fazeres uso do refresh token de forma a obteres novos access token sem envolver o utilizador. Penso ser a solução para o teu problema. Tentei ser o mais claro possível apesar da tua pergunta não indicar especificamente como estás a realizar todo o processo. Alguma coisa, deixa comentário que tentarei ajudar mais.
    – Zuul
    Commented 26/02/2014 às 19:16
  • A quem deu um downvote nesta resposta, seria bom um comentário para entender o motivo.
    – Zuul
    Commented 11/03/2014 às 10:56

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .