在多层架构中处理身份验证

Question

我正在编写一个 API，它将被 Web 应用程序以及本机 iPhone 和 Android 应用程序使用。

用户将通过网络应用程序或本机应用程序创建帐户、登录、注销等。但是所有的业务逻辑都在 API 中。因此，Web 应用程序和原生应用程序大多是仅包含 UI 以与 api 集成的薄层。

问题：

当您拥有 Web 应用程序或本机应用程序的此外层时，有哪些通用方法/技术可用于根据 API 对用户进行身份验证。

相关问题

Authenticating users in iPhone app

Answer 1

^{披露：我在 Auth0 工作。}

代币！代币！代币！

在 Web API 中对用户进行身份验证的最普遍方法是使用基于令牌的身份验证。该过程可以简化为以下步骤：

1. 客户端应用程序在请求中包含一个令牌（Authorization 标头）。
2. Web API 验证令牌，如果有效，则根据与令牌关联的信息处理请求。

这种类型的令牌通常称为不记名令牌，因为应用程序要访问受 API 保护的资源唯一需要做的就是提供令牌。将 HTTPS 与这种类型的身份验证一起使用是至关重要的，以确保在从客户端到服务器的过程中，攻击者无法轻易捕获令牌。

令牌可以进一步分类为：

• 按值标记 - 相关信息包含在标记本身中
• by-reference 令牌 - 相关信息保存在服务器端存储中，然后使用令牌值作为键找到这些信息

一种用于按值标记的流行格式是 JWT 格式 (Get Started with JSON Web Tokens)，因为它以 Web 友好的方式编码，并且还具有相当简洁的表示，以减少线路上的开销。

在按值或按引用令牌之间进行选择是一个考虑每种方法的优缺点并查看您可能有的任何具体要求的问题。如果您使用 JWT，请查看 jwt.io 以获取有关在各种技术中支持此格式的库的参考。

我的应用程序首先如何获取令牌？

设置您的 API 以使用令牌对用户进行身份验证可以被视为最简单的部分，尽管仍然需要考虑所有常见的安全预防措施。

基于令牌的身份验证系统的最大问题是建立一个系统，该系统可以向可能使用不同技术或完全不同平台的不同客户端应用程序颁发令牌。

如另一个答案所述，此问题的答案是依赖 OAuth 2.0 和 OpenID Connect 协议并执行以下操作之一：

• 实施符合上述协议的身份提供者/授权服务器系统
  ⤷ 耗时且复杂，但您遵循标准，因此您不太可能搞砸，而且您还将获得互操作性

• 将身份验证委托给第三方身份验证提供商，例如Auth0
  ⤷ 很容易上手，取决于使用量（Auth0 上的免费计划goes up to 7000 users），它会花费你金钱而不是时间

Answer 2

你应该去看看

1. OpenID
2. OAuth

并设置身份服务器。 取决于您使用的技术，IdentityServer 广泛可用 一个是.net 平台上的IdentityServer4

请不要犹豫，询问更多！ :D

Answer 3

我同意@Fabian Bettag 和@WickStargazer。

您可以使用OAuth 2.0，它非常适用于网络应用程序、移动客户端和 java-script 客户端。您还可以使用OpenID Connect 根据授权服务器执行的身份验证来验证最终用户的身份，以及以可互操作和类似 REST 的方式获取有关最终​​用户的基本配置文件信息。 OpenID Connect 1.0 是OAuth 2.0 协议之上的一个简单身份层。

注意：-您还可以实现SOAP 用于登录、注册和注销（安全敏感API），以增加您的应用程序的安全性。

希望这会有所帮助，如果有任何帮助，请告诉我。编码愉快！！！