मोबाइल क्लाइंट से oAuth करने का "दाएं" तरीका

Question

मैं एक क्रॉस प्लेटफॉर्म मोबाइल एप्लिकेशन (ज़ैमरियन टूल, मोनो टच/मोनोडायड का उपयोग करके) का निर्माण कर रहा हूं। मैं प्रमाणीकरण वर्कफ़्लो के माध्यम से काम करने की कोशिश कर रहा हूं और एक ठोकर खा रहा हूं। मैंने एक स्पष्ट उत्तर के लिए पूरी तरह से खोज की है और अभी तक इसे ढूंढना नहीं है।

यहां मेरे वर्तमान सेटअप का एक अवलोकन है।

मेरे पास नोडज में निर्मित एक वेबसाइट है। मैं वेब साइट पर oAuth लॉगिन करने के लिए passport.js का उपयोग करता हूं। यह बहुत अच्छा काम करता है, उपयोगकर्ता ट्विटर या फेसबुक का उपयोग करके मेरी साइट पर लॉगिन कर सकते हैं।

अब मैं अपने मोबाइल क्लाइंट में यह लॉगिन लॉगिन कार्यक्षमता विस्तारित करना चाहता हूं।

मैं देख रहा हूँ 2 विकल्प

1. एम्बेड ऐप्लिकेशन आईडी और एप्लिकेशन गुप्त मोबाइल ग्राहकों में है और प्रत्यक्ष oAuth FB करने के लिए कॉल कर सकते हैं या ट्विटर

2. प्रॉक्सी oAuth के माध्यम से कॉल मोबाइल एप्लिकेशन से मेरी मौजूदा NodeJS वेब सर्वर

विकल्प 2 पसंदीदा तरीका (होने के लिए के रूप में यह करने के लिए "जहाज" होने से बचा जाता है प्रतीत होता है (सर्वर पर गुप्त कुंजी रखने) secre मोबाइल ऐप में टी)।

मेरे पास प्रॉक्सी दृष्टिकोण अधिकतर काम कर रहा है।

1. मैं अपने मोबाइल क्लाइंट में एक WebView खोलने के लिए और http://mysever/auth/twitter
2. यह चलाता है पर यह बात अपने मौजूदा passport.js कोड के माध्यम से और ट्विटर प्रवेश पृष्ठ पर मोबाइल WebView से अधिक पुनर्निर्देश।
3. उपयोगकर्ता तब डिवाइस पर ट्विटर वेबपृष्ठ पर अपने क्रेडिट दर्ज करता है।
4. ट्विटर फिर मेरे ओथ कॉलबैक यूआरएल (जो मेरा नोडजेस वेब सर्वर है) को कॉल करता है।
5. मेरा सर्वर और ट्विटर उपयोगकर्ता प्रोफाइल जानकारी प्राप्त करने के चौथे हैंडशेक को पीछे रखता है (जैसा कि मैं इसे समझता हूं, यह इस दृष्टिकोण की कुंजी है, मेरा सर्वर और ट्विटर हैंडशेक को संभालने के लिए, मोबाइल क्लाइंट को नहीं करना है कुछ भी करने या इस प्रक्रिया)

यहाँ मेरी समस्या है के दौरान किसी भी टोकन पारित:

1. यह इस अंतिम चरण है कि मुझे स्टंप है। एक बार हाथ मिलाना मेरे सर्वर पर पूरा हो गया है मैं उपयोगकर्ता जानकारी नहीं है मैं सर्वर पर की जरूरत है और मोबाइल ग्राहक आवेदन करने के लिए इसे वापस भेजने की जरूरत है

   मैं WebView नियंत्रण हड़पने के लिए में किसी भी तरह से समझ नहीं प्रतिक्रिया वस्तु और एक कुकी, या हेडर मान (उदाहरण के लिए) पकड़ो (यह एंड्रॉइड और आईओएस के लिए सच लगता है)। मुझे नहीं लगता कि यह मंच विशिष्ट है। मुझे लगता है कि मैं कुछ ऐसा करने की कोशिश कर रहा हूं कि मोबाइल प्लेटफार्मों में एक वेबव्यू विजेट बस suport नहीं है। यह मुझे लगता है कि मुझे कुछ याद आ रही है।

केवल एक चीज मैं पता लगा है मेरे वेब सर्वर "redirect" एक नकली यूआरएल क्वेरी स्ट्रिंग में उपयोगकर्ता जानकारी है कि करने के लिए मोबाइल ग्राहक ब्राउज़र है। Myapp की तरह कुछ: // info? Userid = 1234

फिर मोबाइल ऐप में मैं यूआरएल लोडिंग को हाइजैक कर सकता हूं और इस यूआरएल को पकड़ सकता हूं और मुझे आवश्यक डेटा प्राप्त कर सकता है। मैं फिर इस userinfo को छीन सकता हूं, वेबव्यू नियंत्रण को बंद कर सकता हूं और अपने मोबाइल एप्लिकेशन में मूल स्क्रीन पर जा सकता हूं और उपयोगकर्ता को पहचानने के साधन के रूप में मेरे नोडजेस सर्वर पर किसी भी बाद की आरईएसटी कॉल में userinfo उपयोगकर्ता को जोड़ सकता हूं।

यह कई कारणों से बड़े पैमाने पर क्लिगी है। इनमें से सबसे बड़ा यह है कि यूआरएल तार को अनएन्क्रिप्टेड तार पर भेजा जाता है और इसमें सभी डेटा सादे पाठ में होते हैं।

वेब सर्वर से डेटा को मोबाइल क्लाइंट पर वापस लाने का बेहतर तरीका होना चाहिए?

या क्या मैं यह सब गलत कर रहा हूं?

Answer 1

आईओएस और एंड्रॉइड दोनों के लिए एक्समारिन के लिए ओथ को लागू करने का सबसे सरल तरीका Xamarin.Auth का उपयोग कर रहा है। क्लाइंट के लिए स्टार्टर दस्तावेज़ here है। मुझे लगता है कि इसे सब कुछ सुरक्षित रूप से बनाए रखना चाहिए और आपको प्रॉक्सी के रूप में अपने नोड सर्वर का उपयोग करने के बारे में चिंता करने की आवश्यकता नहीं होगी।

आपको कॉल के हिस्से के रूप में अपनी एप्लिकेशन आईडी प्रदान करने की आवश्यकता होगी, लेकिन मेरे पास चिंता करने के लिए बहुत अधिक या कोई सुरक्षा समस्या नहीं है।

मुझे पता है कि यह आपके द्वारा पहले से लागू किए गए कार्यों के खिलाफ जा रहा है, लेकिन शायद यह चीजों को थोड़ा सा सरल बनाने में मदद कर सकता है।

Answer 2

यह वही दुविधा है जिसका मैं सामना कर रहा हूं। इस प्रकार मैं वर्तमान में इसके साथ सौदा करता हूं। मेरे ऐप में ग्राहक सीधे या किसी अन्य सेवा के माध्यम से आ सकता है जैसे फेसबुक जो मेरा मुख्य है और इसलिए जिस पर मैंने ध्यान केंद्रित किया है।

फेसबुक या तो POST (डेस्क ऐप्स) या एक GET (मोबाइल) के माध्यम से रीडायरेक्ट कर सकता है।

मैं प्रारंभिक अनुरोध की जांच करता हूं ताकि देखें कि सेवा पहचानकर्ता है या नहीं - उदाहरण के लिए फेसबुक जीईटी है।

app.get('/', function(req, res) { 
var paraUrl = URL.parse(req.url,true).query; 
//The fb_source is shown - 
//i need to go striaght to the facebook authorization since 
//its coming from 
//from a mobile device. 
if (paraUrl.fb_source){ 
res.redirect('/auth/facebook'); //this is the passport part 
return; 
} 
res.sendfile('index.html'); 
} 

फेसबुक पोस्ट बेस 64url में टोकन एन्कोड तक पहुंचने में थोड़ा अलग है। जीईटी आपको एक कोड देता है जिसे आप एक्सेस टोकन के लिए एक्सचेंज कर सकते हैं लेकिन मुझे इसके साथ समस्याएं थीं और पासपोर्ट सिस्टम में बसने का विकल्प चुना था।

यदि कोई ग्राहक सीधे आता है तो मैं सत्र या एन्क्रिप्टेड कुकी की जांच करता हूं जो स्थानीय रणनीति में संबंध रखता है। यह तब एक एक्सेस टोकन के लिए डीबी की जांच करता है जो उदाहरण के लिए फेसबुक एपीआई तक पहुंचने के लिए उपयोग किया जा सकता है।

एक ग्राहक गैर मान्यता प्राप्त है, तो वे फेसबुक के माध्यम से प्रमाणित करने के लिए विकल्प दिया जाता है, गूगल आदि

मुख्य बात यह है कि जानकारी का केवल 2 टुकड़े ग्राहक, पासपोर्ट सत्र id और मेरे एप्लिकेशन को उपयोगकर्ता के साथ जमा हो जाती है है आईडी

कनेक्ट करें।sid - encypted कुकी

userId - encypted कुकी

मैं पता लगाने के लिए दिलचस्पी होगी कैसे अन्य लोगों को इस मुद्दे