Existem várias maneiras. Antes, vamos às perguntas:
Em tese, não seria o próprio Google (serve-oauth) que deveria gerenciar a sessão ao invés da aplicação WEB que usou o OAuth para autentificar o usuário?
Não. Google é responsável pela autenticação do usuário e pela verificação da validade das requisições de informações do usuário feitas pelas aplicações web.
Como uma aplicação WEB que usa OAuth para autentificação, consegue gerenciar a sessão e identificar o usuário que está logado, ou saber se ele está logado?
Ela mesma gerenciaria as sessões; o provedor OAuth só valida acessos à informação de seus usuários registrados.
Quais tipos de dados uma aplicação WEB que usa OAuth para autentificação recebe como resposta do servidor OAuth quando o usuário é autenticado?
Existem vários formatos, mas em geral o fluxo é desenhado para segregar camadas - via web o usuário se valida, e a aplicação recebe um token que deve ser re-validado diretamente pelo servidor - e só aí o back-end da aplicação obterá os dados do usuário que está se logando.
Acho que o fluxo pode ser melhor visualizado se os passos forem listados em sequência:
- A sua aplicação web é registrada junto ao provedor OAuth. Este irá gerar uma chave secreta, que você utilizará no futuro:
- Usuário se conecta à sua aplicação web. Sem sessão ativa, você oferece uma página contendo uma lista de provedores OAuth que o usário pode utilizar. O usuário seleciona, por exemplo, Google.
- O browser é redirecionado para o provedor OAuth2 do Google, junto com uma URL de retorno válida (previamente cadastrada - na imagem acima,
http://localhost
foi utilizada).
- Usuário se autentica.
- Google redireciona de volta, junto com um token de requisição.
- O seu servidor recebe uma requisição do browser que contém o token de requisição - algo como
http://localhost/?token=1234567
.
- O servidor estabelece uma conexão direta para o back-end OAuth do Google, passando tanto o token recebido quanto sua chave secreta (por exemplo,
https://oauth.google.com/validate/?token=1234567&secret-key=abcdefgh
.)
- O provedor Oauth valida se token, chave secreta e URL de origem são válidos. Caso positivo, um payload é retornado contendo os dados do usuário (JSON:
{'email': '[email protected]'}
, por exemplo.)
- Sua aplicação cria sua própria sessão, baseada nas informações retornadas pelo backend Oauth2 do Google.
Dois pontos importantes:
- Sua aplicação web nunca recebe as credenciais (email + password) diretamente - estas são validadas nos servidores do Google.
- Seu front-end nunca recebe a chave-secreta, já que esta deve ser utilizada apenas pelo back-end.