如何启用使用 Google 和 Apple 登录

了解如何准备 Google 和 Apple 开发者凭据，以便您的客户能够使用其 Google 或 Apple 账户在 B2CORE 中登录或注册

本指南适用于希望让客户除了使用电子邮箱和密码之外（或替代电子邮箱和密码），还能使用其 Google 或 Apple 账户登录或注册的经纪商。本文说明您需要自行准备的内容，以及将信息交给 B2Broker 后会发生什么。

这是一个联合配置：您负责 Google/Apple 开发者账户和凭据，B2Broker 将它们接入您的 B2CORE 实例。只有双方都完成相关工作后，此功能才会启用。

此功能需支付一次性配置费。在申请开通前，请联系您的客户经理或我们的支持团队确认费用和可用性。

您将获得什么

请与您的 B2Broker 客户经理确认，您的 B2CORE 实例是否可使用社交登录功能。这取决于您是否已在使用当前身份认证平台。
决定您希望使用哪些提供商：仅 Google、仅 Apple，或两者都使用。Apple 需要付费的 Apple Developer 账户，因此如需使用该功能，请提前做好规划。
您需要有人员能够访问贵公司的 Google Cloud / Apple Developer 账户（或具备创建新账户的权限）。

**一个 Google Cloud 项目。**使用现有公司项目，或创建一个专用于登录的新项目。
**OAuth 同意屏幕。**配置：
- 应用名称、支持邮箱、徽标（这是您的用户会在 Google 同意提示中看到的信息）。
- 作用域：openid、email、profile。
- 发布状态：当应用处于测试状态时，只有明确添加的测试用户能够登录，其他人都会收到 access_denied。正式上线前，请将应用切换为已发布状态。
一个 OAuth 2.0 Client ID（应用类型：Web application）。
- 我们会向您提供需要注册的确切Authorized redirect URI。该 URI 与您的 B2CORE 实例主机名绑定，格式如下：
```
https://<your-api-host>/srvsz/auth/clients/v1/self-service/methods/oidc/callback/google
```
- 将相同的主机（不含路径）添加为Authorized JavaScript origin。
复制生成的Client ID和Client secret。

Apple 的配置步骤更多，并且需要拥有有效的 Apple Developer Program 会员资格。

一个 App ID，并启用Sign In with Apple功能（如果已有可复用现有 App ID，或创建新的）。
一个 Services ID — 这是 Apple 实际用于 OAuth 的客户端。配置时：
- Domain：您的 B2CORE 实例 API 主机（不含协议和路径）。
- Return URL：我们提供的 Apple 回调 URL，其格式与上述 Google 的 URL 相同，但以 /apple 结尾。
在 Apple 的 Keys 部分生成一个**“Sign in with Apple”私钥（.p8 文件）**，并将 Sign In with Apple 功能关联至您的 App ID。

此文件只能下载一次 — 请立即将其保存到安全的位置。

您最终会获得五项信息：Services ID（client ID）、Team ID、Key ID、.p8 私钥文件；与 Google 不同，没有单独需要复制的“client secret”，Apple 的密钥由前四项信息派生而来。

请向我们发送：

请将这些信息视为机密 — 尤其是 Apple 私钥。请通过您的客户经理提供的安全渠道发送（例如机密信息共享链接或加密附件），而不要通过普通电子邮件或聊天工具发送。我们会在凭据安全存储到我方系统后向您确认，并告知您按钮何时上线。

收到您的凭据后，我们会在您的 B2CORE 实例上启用该功能并进行部署。

这通常会导致登录服务短暂重启 — 预计不会造成停机，但请避免在高峰时段安排。

打开您的登录页面 — 您应该能看到 Google/Apple 按钮。
使用每个已启用提供商的真实账户登录。
确认用户已成功登录，并确认其电子邮箱/姓名在您的管理面板中显示正确。
如果 Google 仍处于测试模式，只有您添加到同意屏幕中的测试用户能够登录，其他所有人都会看到 access_denied。在向真实用户推广该功能前，请发布应用。

**Apple 仅会在用户首次授权时共享其姓名和电子邮箱。**如果用户在 Apple ID 设置中撤销您的应用授权，然后稍后再次登录，Apple 将只返回一个匿名标识符 — 此后可能不会再提供姓名。这是 Apple 的限制，并非我方的问题。

Apple 电子邮箱可能是“私密中转”地址（...@privaterelay.appleid.com）。这些是真实且可用的地址 — 只是通过 Apple 中转。请将其视为用户的规范电子邮箱；它们不会自动匹配使用用户真实电子邮箱的现有密码账户。

**Google 要求电子邮箱已验证。**如果 Google 账户的电子邮箱未验证，登录将按设计失败 — 这可保护您的用户群免受未经验证的身份影响。

提供商 ID 是固定的（google、apple）。如果您需要轮换凭据（例如密钥泄露），请联系 B2Broker — 我们可以更新凭据，而无需更改您的用户已在使用的登录 URL。

请通过您的 B2Broker 客户经理或支持渠道联系我们，并提供您的经纪商名称以及您正在配置的提供商。