Autenticazione utente nell'applicazione JavaScript

Question

Autenticazione utente nell'applicazione JavaScript

#1 da (1 voti)

4

Sto sviluppando un'applicazione web che comunicherà con un server tramite WebAPI. Il lato server sarà su Azure e il lato client sarà su hosting personalizzato con un'applicazione JavaScript (ad esempio con ReactJS).

Voglio autentificare l'utente in questo modo:

Inserisci l'accesso e passa l'app del cliente.
Il pass e l'accesso vengono inviati al server su HTTPS con AJAX.
Se l'autenticazione ha esito positivo, il server restituisce un token al client.
Il token è archiviato nella memoria locale.
Tutte le future richieste al server conterranno il token memorizzato in precedenza come parametro.

Il modello di autenticazione è sufficientemente sicuro? Utilizziamo sempre .NET MVC per ora e memorizziamo le informazioni dell'utente nella sessione del server, ma questa è una situazione nuova, in cui il client non è stato eseguito direttamente sul server, ma comunica solo con esso tramite HTTPS.

api javascript authentication http asp.net

posta Denis Stephanov 05.05.2017 - 10:32

fonte

1 risposta

Leggi altre domande sui tag api javascript authentication http asp.net

Genera elenco di parole usando regole non predefinite (John The Ripper) canale dei creator IFTTT e problemi di sicurezza

score 1 · Answer 1

Ciò che descrivi qui è praticamente l'equivalente della classica gestione dei cookie (oltre al problema dei parametri, vedi sotto)

Se fatto su applicazioni SPA come la tua, di solito l'ID di sessione (il token che descrivi) fa parte di un'intestazione HTTP.

Ti consiglio vivamente di evitare di inviare l'ID di sessione come parametro che stai descrivendo. In particolare, perché:

(lato client) rivelerebbe l'ID di sessione e faciliterebbe il dirottamento di sessione
contengono gli ID di sessione e facilitano il dirottamento di sessione

L'utilizzo di intestazioni HTTP invece attenua tali problemi.

We always use .NET MVC for now, and store user information in server session, but this is new situation, where client didn't run on server directly,

Informazioni: assicurati che tutta la tua convalida avvenga sempre almeno sul lato server (e facoltativamente sul lato client), e che le informazioni sensibili sulla sessione rimangano anche sul lato server.